Die Zertifizierungsstelle eMudhra zieht sich aus dem TLS-Geschäft zurück.
Ars Technica berichtet, dass das Unternehmen — eines der etablierteren Namen der indischen PKI-Branche und seit Jahren in den Trust Stores von Browsern und Betriebssystemen verankert — seine Zertifikatsgeschäfte einstellt, nachdem ein Fehlumgang mit Private Keys bekannt wurde. Dem Bericht zufolge nutzte eMudhra einen Private Key zu Zertifikaten, die es selbst ausgestellt hatte. Genau das widerspricht den Baseline Requirements der CA/Browser Forum: Für jedes Zertifikat soll ein frisch erzeugtes Schlüsselpaar verwendet werden, das die CA weder wiederverwendet noch speichert.
Die Folgen reichen über eine fehlerhafte Ausstellung hinaus. Zertifizierungsstellen halten ihre Position über Audits und die Trust-Programme von Google, Mozilla und Apple; wer bei der Schlüsselverwaltung nachlässig ist, kann in einen Distrust-Prozess geraten — was praktisch bedeutet, dass die ausgestellten Zertifikate nicht mehr akzeptiert werden. Für eMudhra dürfte der kürzere Weg gewesen sein, das TLS-Geschäft komplett aufzugeben, statt Remediation und Re-Audit durchzustehen.
Für Betreiber von Websites bleibt der übliche Schritt: prüfen, welche Zertifikate im eigenen Bestand von eMudhra ausgestellt wurden, und Ersatz planen, bevor die laufenden Zertifikate ablaufen. Für das PKI-Ökosystem ist der Vorfall eine weitere Erinnerung daran, wie konzentriert und zerbrechlich die Vertrauensschicht des Webs ist — und wie schnell ein einzelner Kontrollfehler ein über Jahrzehnte gewachsenes Geschäft beenden kann.
