eMudhra trekt zich terug uit wereldwijde certificaatmarkt na onthulling zwakke privésleutels

De blunder van het Indiase bedrijf wekt opnieuw zorgen over vertrouwen in het certificaatautoriteitensysteem van het internet en de digitale ambities van New Delhi.

Internetbrowsers vertrouwen op een kleine groep certificaatautoriteiten om websites te verifiëren en gebruikers te beschermen tegen imitatie. eMudhra Ltd., India’s enige commerciële speler in dit systeem, maakte vorige week bekend dat acht van zijn privésleutels met lachwekkend zwakke waarden waren gegenereerd, waaronder het enkele cijfer 4.

De onthulling veroorzaakte schokgolven bij technologiebedrijven en beveiligingsonderzoekers wereldwijd. De sleutels werden sinds medio 2025 vertrouwd door grote platforms en bleven onopgemerkt tot een externe onderzoeker de voor de hand liggende patronen in openbare data ontdekte.

Zwakke sleutels leiden tot directe reactie van browsers

Na de melding trokken Apple, Google, Microsoft en Mozilla snel het vertrouwen in de getroffen certificaten in. Het bedrijf bevestigde dat er geen frauduleuze certificaten waren uitgegeven, maar het incident dwong eMudhra Ltd. toch tot de aankondiging dat het vrijwillig de wereldwijde webcertificeringsmarkt verlaat.

Het bedrijf bagatelliseerde de zaak en stelde dat de getroffen activiteiten minder dan 1 procent van de omzet vertegenwoordigden. Het gaf overmatige aandacht op sociale media de schuld van de commotie. India’s ministerie van elektronica en IT onderschreef die visie en kondigde een intern onderzoek aan.

Verouderde apparaten lopen langdurig risico

Beveiligingsanalisten waarschuwen dat het gevaar verder reikt dan gangbare browsers. Slimme meters, betaalterminals en industriële systemen krijgen vaak zelden updates en kunnen de gecompromitteerde sleutels nog jaren vertrouwen. Die apparaten houden mogelijk jarenlang de equivalenten van hoofdsleutels in handen nadat desktop- en mobiele platforms al zijn overgestapt.

Eerdere Indiase certificaatincidenten weerklinken in de huidige zaak

Dit is niet India’s eerste probleem met certificaatautoriteiten. In 2014 ontdekte Google ongeautoriseerde certificaten die door het National Informatics Centre van het land waren uitgegeven voor verschillende Google-domeinen. Het incident leidde ertoe dat grote browsers strengere regels oplegden aan in India uitgegeven certificaten en het agentschap uiteindelijk beperkte tot binnenlandse overheidsdomeinen.

Een vergelijkbare inbraak bij het Nederlandse bedrijf DigiNotar in 2011 stelde aanvallers in staat sites na te bootsen en communicatie van honderdduizenden gebruikers te onderscheppen. Dat bedrijf ging binnen enkele weken ten onder.

Transparantie geëist voor doelen rond digitale soevereiniteit

Het incident komt op een moment dat Indiase functionarissen meer technologische zelfredzaamheid promoten. Critici stellen dat defensieve reacties van zowel het bedrijf als de overheid die inspanningen kunnen ondermijnen. Waarnemers zeggen dat alleen een onafhankelijke forensische beoordeling kan uitwijzen of de zwakke sleutels het gevolg waren van een simpele fout of iets doelbewusters.

Zonder een duidelijk verslag van wat er misging, kan het incident leiden tot diepere scepsis tegenover Indiase digitale infrastructuur, juist nu het land streeft naar bredere mondiale acceptatie van zijn systemen.

Tags bij dit artikel