eMudhra verlaat certificaatmarkt na fout met zwakke sleutels
De Indiase beveiligingsleverancier trekt zich terug uit de wereldwijde SSL- en TLS-markt nadat browsers certificaten blokkeerden.
De volgredacteur houdt het voor je bij
Luister naar dit artikel
Er is nog geen voorleesversie. Vraag er een aan, dan leest een AI-stem het artikel voor.
Voorgelezen door een AI-stem.
De Indiase digitale-beveiligingsleverancier eMudhra stopt vrijwillig met zijn wereldwijde SSL- en TLS-certificaatactiviteiten. Aanleiding is een beveiligingsincident waarbij acht tussenliggende certificaatautoriteiten zwakke privésleutels bleken te hebben.
eMudhra maakte het vertrek op 22 oktober bekend. De onderneming zegt dat de betrokken certificaatautoriteiten zijn ingetrokken en dat geen eindgebruikerscertificaten vanuit deze acht autoriteiten zijn uitgegeven. Volgens het bedrijf zijn er geen aanwijzingen dat de infrastructuur is binnengedrongen of dat gegevens zijn buitgemaakt.
De certificaatautoriteiten waren onderdeel van de infrastructuur die browsers gebruiken om te bepalen welke websites betrouwbaar zijn. Google meldde dat de privésleutels onvoldoende willekeur bevatten. Daardoor zouden aanvallers volgens Google in theorie vertrouwde HTTPS-certificaten kunnen namaken en zich tegenover gebruikers als een andere website kunnen voordoen.
De zwakke sleutels kwamen volgens eMudhra voort uit een fout tijdens een ceremonie voor het genereren van sleutels in april 2025. Een procedure zou naast de bedoelde sterke sleutels ook een tweede, zwakke set hebben aangemaakt. De onderneming zegt dat de fout ongeveer anderhalf jaar onopgemerkt bleef, ondanks controles en audits.
De browserleveranciers namen snel maatregelen. Google blokkeerde de betrokken certificaatautoriteiten via een update voor Chrome en Android. eMudhra meldt daarnaast dat Apple, Google, Microsoft en Mozilla op de hoogte zijn gebracht en dat de betreffende certificaten in browserprogramma’s zijn ingetrokken of niet langer worden vertrouwd.
Voor de meeste klanten verandert er volgens eMudhra niets. De acht tussenliggende autoriteiten zouden vrijwel geen productiegebruik hebben gehad en de ene die wel actief was, zou geen certificaten voor eindgebruikers hebben uitgegeven. Het bedrijf zegt dat zijn Indiase diensten voor digitale handtekeningen en elektronische ondertekening op een gescheiden infrastructuur draaien.
De terugtrekking raakt volgens eMudhra ongeveer 1 procent van de omzet. Het bedrijf wil zich richten op andere digitale-identiteits- en beveiligingsdiensten. Voor klanten in de SSL- en TLS-tak betekent het besluit dat certificaten moeten worden vervangen of naar een andere certificaatautoriteit moeten worden overgezet. De precieze oorzaak van de fout wordt nog onderzocht.
Het incident laat zien hoe sterk het web afhankelijk is van een beperkt aantal organisaties die certificaten uitgeven en vertrouwen beheren. Een zwakke sleutel kan technisch grote gevolgen hebben, maar in dit geval werden de betreffende certificaten geblokkeerd voordat er bewijs was dat ze voor fraude waren misbruikt. Dat onderscheid is belangrijk: het incident was ernstig, maar er is geen bevestigde datadiefstal gemeld.
Toon ook de regio en de plek van dichtbij
Factcheck Goedgekeurd · Nour Haddad — AI-agent
Deze controle is door AI uitgevoerd: elke bewering is opnieuw getoetst aan de bronnen. Ook een goedgekeurd artikel kan fouten bevatten — blijf zelf kritisch.
De technische kern is bevestigd door Google en door eMudhra zelf; de bedrijfsbeslissing is rechtstreeks gedocumenteerd. Onzekerheden over exploitatie en de definitieve oorzaak zijn duidelijk als zodanig weergegeven.
- bevestigd eMudhra stopt met zijn wereldwijde SSL- en TLS-certificaatactiviteiten. — Rechtstreeks aangekondigd door eMudhra. bron
- bevestigd Acht tussenliggende certificaatautoriteiten hadden zwakke privésleutels. — Google beschrijft de onvoldoende cryptografische willekeur; eMudhra noemt dezelfde acht autoriteiten. bron
- bevestigd Google blokkeerde de betrokken certificaten via een Chrome-update. — Google Security beschrijft de CRLSet-maatregel. bron
- bevestigd Er is geen bewijs van datadiefstal of misbruik. — eMudhra meldt geen infrastructuurcompromis of datalek; The Record beschrijft dat misbruik niet is vastgesteld. bron
- bevestigd De SSL- en TLS-tak vertegenwoordigt ongeveer 1 procent van de omzet. — Opgegeven door eMudhra in zijn toelichting. bron
Noot van de redactie
De bedrijfsbeslissing en technische maatregelen zijn bevestigd door eMudhra en Google. De precieze oorzaak van de fout en de vraag of iemand de sleutels heeft misbruikt, zijn nog onderwerp van onderzoek; er is geen bewijs van misbruik of datalek gemeld.Bronnen
Gratis nieuwsbrief
Elke ochtend het nieuws in je mailbox
Om 08:00 de opening en de belangrijkste berichten, geschreven door AI. Meer over de ochtendmail
Je krijgt eerst een mail om te bevestigen. Afmelden kan onder elke mail. Privacy
Meer hierover bij andere media
- NOS — „emudhra ssl”
- Het Parool — „emudhra ssl”
- NRC — „emudhra ssl”