أعلنت شركة eMudhra في 22 أكتوبر 2026 أن مجلس إدارتها قرر الانسحاب الطوعي من سوق شهادات SSL/TLS العالمية. جاء هذا القرار بعد يومين فقط من كشف باحثين أن جهة إصدار الشهادات الهندية أصدرت ثماني شهادات TLS وسيطة بمفاتيح خاصة ضعيفة لدرجة تسمح لأي شخص بكسرها في أجزاء من الثانية وإصدار شهادات موثوقة لأي موقع إلكتروني أو خادم بريد.
وقالت الشركة إن الانسحاب يسمح لها بالتركيز بشكل أكبر على حلولها المؤسسية الأساسية وخدمات الثقة غير المتعلقة بـ SSL/TLS. وأشار الرئيس التنفيذي V. Srinivasan إلى ارتفاع تكاليف الامتثال، وإلى أن هذا النشاط لا يمثل سوى نحو 1 بالمئة من الإيرادات العالمية، وإلى أن مزوّدي الشهادات المجانية مثل Let's Encrypt يقلّصون العوائد. كما قال إن الضجة على وسائل التواصل الاجتماعي حول الحادث جلبت تدقيقاً يتجاوز بكثير حجم هذا القسم.
المفاتيح الضعيفة وراء انسحاب eMudhra
بحسب Ars Technica، أصدرت eMudhra ثماني شهادات TLS وسيطة ضعيفة لدرجة أن أي شخص يمكنه توليد شهادات موثوقة من جميع المتصفحات الرئيسية، إضافة إلى خوادم البريد وأجهزة إنترنت الأشياء وحاويات Docker والأدوات غير المحدَّثة التي تحمل نسختها الخاصة من مخزن الجذر. يُفترض أن تحمل مفاتيح NIST P-384 نحو 384 بت من الإنتروبيا؛ لكن هذه المفاتيح تراوحت أحجامها بين 3 و8 بتات.
وأوضحت eMudhra أن خللاً في نص برمجي لحفل توليد المفاتيح تسبب في أن تُنتج خطوة اللف/الفك مجموعة ثانية من المفاتيح الضعيفة إلى جانب المفاتيح القوية المقصودة، وأن المفاتيح الضعيفة استُخدمت بالخطأ لإنشاء طلب توقيع الشهادة لأن تسميات المفاتيح كانت متشابهة. وقالت الشركة إن طلب توقيع الشهادة أُرسل أيضاً إلى جهة إصدار الشهادات الشقيقة Sectigo للتوقيع المتبادل.
- ثماني شهادات TLS وسيطة متأثرة، صادرة تحت الجذر ECC الخاص بـ eMudhra.
- تراوحت إنتروبيا المفاتيح الخاصة بين 3 و8 بتات، مقابل نحو 384 بت متوقعة لمفاتيح NIST P-384.
- أقوى مفتاح معطوب لم يوفر أكثر من 256 احتمالاً؛ وأضعف مفتاح خاص كان 4 فقط.
