Het Indiase bedrijf eMudhra stopt als certificaatautoriteit, zo heeft het vandaag bekendgemaakt. De aankondiging volgt op een incident met de private keys die het voor de uitgifte van tls-certificaten en code signing certificaten gebruikte. Deze keys waren zo zwak dat ze eenvoudig waren te achterhalen. Vervolgens had een aanvaller certificaten voor willekeurige websites kunnen uitgeven en zo phishing- en man-in-the-middle (MiTM)-aanvallen kunnen uitvoeren.

In de aankondiging stelt eMudhra dat het zelf heeft besloten om te stoppen met het uitgeven van tls-certificaten. Websites gebruiken die voor identificatie en het versleutelen van verkeer van en naar bezoekers. Volgens eMudhra zijn de kosten en verplichtingen voor het zaken doen als certificaatautoriteit de laatste jaren steeds verder toegenomen. Daarnaast zijn er partijen als Let's Encrypt die gratis tls-certificaten uitgeven. Het bedrijf zou daarnaast met andere bedrijfsonderdelen meer verdienen.

Het Indiase bedrijf wijst echter ook naar het private key-incident als reden voor de beslissing om als certifcaatautoriteit te stoppen. "De mate waarin dit incident via social media is uitvergroot, heeft gezorgd voor een mate van aandacht die niet in verhouding staat tot de rol die SSL/TLS binnen onze bedrijfsactiviteiten speelt. Gezien dit alles en na uitvoerig beraad heeft het bestuur besloten dat het terugtrekken uit de wereldwijde SSL/TLS-markt de juiste beslissing is voor eMudhra en haar aandeelhouders." De bestaande G1 RSA roots van de certificaatautoriteit blijven voorlopig werken. Klanten zullen naar andere certificaten worden overgezet.