eMudhra neemt een drastisch besluit: de Indiase certificaatautoriteit (CA) trekt zich terug uit haar wereldwijde SSL/TLS-certificatenbusiness. Aanleiding is een ontdekking van een onderzoeker, die rapporteerde dat private sleutels van acht intermediate CA-certificaten eenvoudig waren af te leiden. Voor organisaties met certificaten die onder deze keten vallen, betekent dat in de praktijk snelheid bij het vervangen en migreren.
De gevolgen worden verder versterkt door veranderingen in het vertrouwensbeleid van grote browsers. Zowel Chrome als Firefox schakelden het vertrouwen rond getroffen certificaatketens uit, waardoor legitieme certificaten onder die hiërarchie niet meer zullen werken zoals voorheen.
Wat betekent de eMudhra SSL/TLS impact voor gebruikers?
De kern van het incident is dat de private sleutels van acht intermediate CA’s niet voldoende random waren. Volgens het onderzoek lagen de waarden onder 256, waardoor een aanvaller ze in bijna realtime kon reconstrueren. Dat is precies het type zwakte dat de betrouwbaarheid van een certificaathierarchie ondermijnt.
eMudhra geeft aan dat zes van de acht intermediate CA’s betrekking hadden op website (TLS) certificaten. Chrome stopt bovendien met het vertrouwen op de eMudhra root die boven deze ketens staat: emSign ECC Root CA – G3. Naar verwachting bereikt de wijziging gebruikers op de ochtend van 27 oktober (Pacific time).
Firefox heeft naar aanleiding hiervan al besloten om ook dezelfde root niet langer te vertrouwen. Dat type root-verwijdering raakt direct de certificaten die “eronder” zijn uitgegeven: zelfs wanneer een certificaat zelf technisch correct is, verliest het de basis voor verificatie.
Hoe groot is het probleem: aantal certificaten in de keten
Chrome telde rond 21 oktober circa 30.800 nog niet verlopen certificaten die doorliepen naar de genoemde root. Van die set werd 99,9% uitgegeven via InCommon, de certificaatdienst van Internet2 voor de hogeronderwijssector.
In de periode april tot en met juli is InCommon de certificaatsdienst gaan draaien op eMudhra’s CertiNext-platform. Daarmee is het effect relatief geconcentreerd bij organisaties die van dat platform afhankelijk zijn.
eMudhra stelt dat de global SSL/TLS-business ongeveer 1% van de omzet vertegenwoordigt. Tegelijkertijd maken compliance- en data-sovereignty-eisen het beheer complex en kostbaar, en sommige grote partijen leveren certificaten bovendien gratis.
Chrome: directe instructie voor websitebeheerders
Google heeft organisaties met certificaten onder de getroffen root geïnformeerd met een duidelijke boodschap: koop en installeer direct een nieuw TLS-certificaat binnen een alternatieve PKI-hiërarchie die voorkomt in de Chrome Root Store.
De boodschap gaat niet alleen over “wachten tot het opgelost is”. Er is sprake van een tijdgebonden omschakeling: totdat de overgang is afgerond, blijven sommige andere root-certificaten van eMudhra nog dienstdoen, maar de ECC-keten waar het nu om gaat wordt uitgefaseerd.
Welke certificaten blijven tijdelijk werken?
eMudhra zegt dat de G1 RSA root-certificaten tijdens de transitieperiode beschikbaar blijven voor klanten. Deze G1-hiërarchie is apart van de ECC-root die Chrome aan het verwijderen is.
Wel benadrukt eMudhra dat Chrome nog onderzoekt of het de overige eMudhra CA-certificaten in de root store zal behouden. Met andere woorden: ook al is er een alternatief, het is niet “business as usual” tot browsers de definitieve beslissing hebben afgerond.
Mozilla: vertrouwen en ketens worden ook losgekoppeld
Mozilla’s beslissing om dezelfde root niet meer te vertrouwen maakt het plaatje compleet. Het gevolg is dat certificaten onder die keten niet langer als geldig worden gezien door Firefox, wat weer impact kan hebben op websites en interne applicaties.
Wanneer browsers het vertrouwen intrekken, ontstaat er dus een keteneffect: de bron van vertrouwen verdwijnt, en de certificaten die daaraan hangen verliezen hun verificatiepad.
Wat moeten certificate holders nu doen?
Er zijn al concrete aanwijzingen zichtbaar bij instellingen. Cornell heeft certificate holders opgeroepen om over te stappen naar RSA-certificaten in plaats van ECC. De redenering is dat RSA-certificaten gebruikmaken van de onaangetaste root en naar verwachting werken.
De Universiteit van Michigan geeft aan dat InCommon’s RSA-certificaten op dat moment niet zijn getroffen, maar dat de root alsnog kan worden gedistrusted. Als primaire route wordt op dit moment Let’s Encrypt genoemd als alternatief.
eMudhra schat dat er ongeveer 30.000 certificaten moeten worden verplaatst. Daarbij is van belang dat bijna 97% is uitgegeven via ACME, het protocol dat veel servers gebruiken voor het automatisch aanvragen en verlengen.
Waarom ACME-vernieuwing niet altijd genoeg is
ACME automatiseert certificaatvernieuwing, maar de standaarden bepalen ook hoe en wanneer er wordt omgeschakeld. Chrome heeft aangegeven dat standaard ACME-clients certificaten buiten de normale verlengvensters niet automatisch vervangen, tenzij de client aanvullende ondersteuning heeft (zoals ACME Renewal Information) of iemand handmatig ingrijpt.
Bij een migratie van ECC naar RSA kunnen bovendien configuratie-aanpassingen in clientinstellingen nodig zijn. Dat betekent dat beheerders niet alleen “verlengen” moeten zien als oplossing, maar ook de keten en root in de gaten moeten houden.
Voor wie certificaten beheert via scripts of infrastructuur-as-code is dit extra belangrijk: controleer of het proces daadwerkelijk de juiste hiërarchie kiest, en valideer daarna in browsers en testomgevingen.
De controverse rondom CRL’s en transparantievragen
Naast de zwakke intermediate sleutels lopen er discussies over de manier waarop revocation en statusinformatie is gepubliceerd. Mozilla’s bericht van 20 oktober stelde dat men vooralsnog de G1 root niet verwijderde, met verwijzingen naar certificaatketens via eMudhra en een CA zoals emSign Root TLS CA – G1.
Op 14 oktober publiceerde eMudhra een certificate revocation list (CRL) voor emSign Root TLS CA – G1. Een onderzoeker stelde dat de handtekening niet verifieerbaar was met de eigen CA-sleutel. In dezelfde bugrapportage kwam een ander participant later met de interpretatie dat de CRL mogelijk was gesigneerd met de sleutel van een eMudhra OCSP-certificaat.
Chrome stelde vervolgens vragen over de signerende sleutel en het bestaan van meerdere key pairs voor die CA of root. Ook wilde Google weten of klanten al verplaatsen naar G1, naar een andere CA, of naar een combinatie van beide, en wanneer die migratie volledig afgerond moet zijn, gezien de geplande verwijdering op 27 oktober.
In de bronmelding staat dat eMudhra tot een bepaald moment geen publieke antwoorden had gegeven op Chrome’s vragen in het bugrapport.
Vergelijkbaar securitybeeld: supply chain en trust-impact bij CA’s
Hoewel dit bericht specifiek over CA’s en browser-trust gaat, past het bredere securitypatroon bij incidenten waarbij de betrouwbaarheid van infrastructuuronderdelen wordt geraakt. Voor een bredere blik op hoe “ketens” in security kunnen doorwerken, is het nuttig om ook naar cases over supply chain en vertrouwen te kijken.
Als je wilt doorgronden wat dit soort incidenten doet met het vertrouwen in softwarelevering en credentials, lees dan ook LiteLLM compromis: supply chain en credential stealer. Dat artikel zoomt in op hoe een kwetsbaarheid of misconfiguratie in een tussenlaag impact kan hebben op downstream systemen.
Praktische checklist voor eMudhra SSL/TLS impact
- Inventariseer welke certificaten onder de getroffen ECC-hiërarchie vallen (en welke rootketen in gebruik is).
- Plan migratie naar een alternatieve PKI-hiërarchie die door Chrome/Firefox wordt vertrouwd.
- Controleer ACME-processen: zorgt je client dat ook buiten het verlengvenster wordt omgeschakeld, of is handmatige actie nodig?
- Test in browsers na installatie (niet alleen via command line checks).
- Valideer status en revocation (CRL/OCSP) in je eigen integraties, zeker als je revocation checks geautomatiseerd toepast.
Conclusie
De eMudhra SSL/TLS impact is geen theoretisch risico: browservertrouwen is al aangepast, certificaatketens worden losgekoppeld en organisaties moeten hun TLS-infrastructuur tijdig migreren. eMudhra stopt bovendien met de wereldwijde SSL/TLS-certificatenbusiness en wil getroffen klanten vervangen door gratis certificaten via partners.
Voor beheerders is het nu vooral zaak om snel te inventariseren, de juiste alternatieve hiërarchie te installeren en te verifiëren dat certificaten ook daadwerkelijk worden geaccepteerd door browsers die relevant zijn voor je gebruikers.
Bron: https://thehackernews.com/2026/10/emudhra-to-exit-global-ssltls-business.html
