Siti governativi indiani servono ancora certificati eMudhra revocati

Alcuni siti del governo indiano stanno ancora servendo certificati eMudhra revocati. Lo segnala un’analisi pubblicata il 23 ottobre 2026¹.

La cronologia è chiara. Il 17 ottobre sono emerse otto CA intermedie eMudhra con chiavi private “trivially recoverable”. Tutte le intermedie coinvolte erano in catena a emSign ECC Root CA - G3. Il giorno dopo sono state revocate. In parallelo, i principali browser hanno avviato la sfiducia verso la root G3. Si tratta di Mozilla e Chrome, che hanno iniziato a non accettare più certificati legati a quella radice¹.

C’è poi un secondo filone, distinto dal primo. Il 19 ottobre eMudhra ha revocato 9.356 certificati nella gerarchia RSA non toccata dal problema delle chiavi, emSign Root CA - G1. Il motivo indicato è “Superseded”. Secondo l’analisi, quel lotto corrisponde a ogni certificato non scaduto che non includeva un certificate-type policy OID richiesto dalla CP/CPS di emSign. Il tema è tracciato come Bug 2082782¹.

Il Ministero dell’Elettronica e dell’IT indiano, MeitY, è intervenuto il 21 ottobre con un thread pubblico. “A security incident concerning eMudhra’s Public Key Infrastructure (PKI) was reported in the public domain. […] However, some social media accounts are indulging in fear mongering about the impact of this incident. […] The impact of this incident on Indian websites and applications have been very limited and for a very short interval.” Il messaggio è stato pubblicato alle 16:31 CEST dall’account @GoI_MeitY¹.

L’analisi contesta quell’ultima affermazione e porta un dato temporale preciso. Le chiavi difettose risalgono ad aprile 2025. Chiunque avrebbe potuto recuperarle per 18 mesi prima della segnalazione pubblica di ottobre 2026. Non si tratta quindi di un intervallo “molto breve”, come scritto da MeitY¹.

Il quadro operativo resta concreto. Mentre le otto intermedie in catena a emSign ECC Root CA - G3 sono state revocate e i browser hanno reagito, alcuni siti governativi continuano a presentare certificati eMudhra già revocati. È il punto di partenza dell’analisi e riguarda endpoint accessibili al pubblico. La situazione emerge nonostante le misure di revoca e il percorso di sfiducia sulla root G3 annunciati dai vendor dei browser¹.

Sulla gerarchia RSA, l’autore del report sottolinea che non si parla di chiavi compromesse. La revoca di massa del 19 ottobre riguarda conformità documentale alle policy di emSign. La corrispondenza tra i 9.356 certificati revocati e l’insieme dei non scaduti privi dell’OID richiesto viene indicata come un allineamento alle regole interne, non come risposta allo stesso incidente che ha colpito le intermedie ECC¹.

Resta un fatto operativo misurabile: al momento della pubblicazione, siti governativi indiani servono certificati eMudhra revocati. La segnalazione arriva insieme alla cronologia delle revoche del 17 e 19 ottobre e al thread ufficiale del 21 ottobre. I prossimi passaggi dipendono dagli attori coinvolti, ma le evidenze pubbliche fissano tempi, numeri e responsabilità come riportato nelle fonti¹.