Из-за восьми слабых ключей eMudhra прекращает выпуск сертификатов для сайтов

17 октября 2026 года исследователи обнаружили, что закрытые ключи восьми промежуточных сертификатов eMudhra были сгенерированы с недостаточной случайностью. Независимая проверка Mozilla подтвердила, что восстановить эти ключи не составляет труда.

Опасность заключалась в возможности выпуска поддельных HTTPS-сертификатов. При перехвате сетевого соединения злоумышленник мог выдать свой сервер за настоящий сайт, а затем читать или изменять передаваемые данные. Привычный значок защищенного соединения в такой ситуации не гарантировал бы подлинность сайта.

Производители браузеров отреагировали быстро. Google и Mozilla заблокировали проблемные сертификаты 17 октября, Apple последовала 19 октября, Microsoft 20 октября. Firefox и Chrome распространили защиту без обязательного обновления браузеров.

Сама eMudhra утверждает, что затронутые промежуточные центры сертификации не выпускали конечных сертификатов для сайтов. Только один из них использовался в рабочей инфраструктуре. Компания также отрицает взлом своих систем и утечку данных. Подтвержденных случаев эксплуатации ошибки для атак на пользователей пока нет.

22 октября совет директоров eMudhra объявил о прекращении глобального бизнеса SSL/TLS-сертификатов. Компания объясняет решение растущими расходами и низкой доходностью направления, обеспечивавшего около 1% выручки.

Для действующих клиентов предусмотрен переходный период с бесплатной заменой сертификатов через партнеров. Проверка статуса уже выпущенных сертификатов продолжит работать до их истечения или замены. Остальные сервисы электронной подписи и корпоративной инфраструктуры открытых ключей компания сохраняет.

История показательна именно характером ошибки. Надежность HTTPS зависит не от одной только криптографической стойкости алгоритма. Если закрытый ключ можно восстановить из-за ошибки при его создании, вся последующая цепочка доверия теряет смысл.