EMudhra stopt na incident met private keys als certificaatautoriteit

In dit artikel:

Het Indiase bedrijf eMudhra stopt met het uitgeven van TLS- en code signing-certificaten en trekt zich terug als certificaatautoriteit. Aanleiding is een incident waarbij de gebruikte private keys zo zwak waren dat ze eenvoudig konden worden achterhaald. Een aanvaller had daardoor certificaten voor willekeurige websites kunnen aanmaken en phishing- of man-in-the-middle-aanvallen kunnen uitvoeren.

Volgens eMudhra spelen ook de toenemende kosten en verplichtingen van het certificaatautoriteitschap mee. De concurrentie van gratis aanbieders zoals Let’s Encrypt en de hogere opbrengsten van andere bedrijfsonderdelen maken de activiteiten minder aantrekkelijk. Het bedrijf zegt bovendien dat de aandacht op sociale media voor het sleutelincident niet in verhouding stond tot het belang van SSL/TLS binnen de onderneming.

De bestaande G1 RSA-rootcertificaten blijven voorlopig actief. Klanten worden geleidelijk overgezet naar certificaten van andere aanbieders.