eMudhra退出全球SSL/TLS证书业务：影响与迁移建议

2026年10月22日，印度数字信任公司eMudhra Limited（BSE: 543533 | NSE: EMUDHRA）发布新闻稿，宣布其董事会已决定自愿退出全球SSL/TLS证书业务。这一决定距离该公司10月21日披露部分全球TLS中间CA和一张根CA被浏览器 distrust 仅一天，引发业界关注。本文基于公开新闻稿，梳理事件背景、核心变化、对开发者和运维人员的影响，并提供可操作的建议。

背景：一次事件与一项战略调整

根据eMudhra的新闻稿，公司董事长V. Srinivasan在评论近期全球SSL/TLS证书事件时表示，eMudhra在发现受影响CA后14小时内完成了吊销，并迅速披露。新闻稿强调，受影响CA没有签发任何终端实体证书，公司基础设施未被入侵，没有数据泄露，所有物理和逻辑安全控制保持完好。

尽管如此，社交媒体上对该事件的放大讨论给公司带来了与其SSL/TLS业务规模不相称的审视。新闻稿指出，全球SSL/TLS业务仅占eMudhra全球收入的约1%。同时，数据主权和合规要求日益增加，该业务的复杂性和成本逐年上升；加上部分大型实体免费提供SSL/TLS证书，该业务线的商业潜力和投资回报率相对于公司整体收入已显著下降。基于这些因素，董事会经详细讨论后认为，退出全球SSL/TLS业务对eMudhra及其股东而言是正确决定。

新闻稿还提到，对许多证书颁发机构（CA）而言，SSL/TLS就是全部业务；但对eMudhra来说，它只是更广泛数字解决方案组合的一部分。公司未来将把精力集中在核心企业解决方案和除SSL/TLS之外的信任服务上。

来源事实：上述背景信息均来自eMudhra新闻稿。编辑分析：这一决定是商业战略调整与近期安全事件共同作用的结果，并非单纯因安全事件被迫退出。新闻稿明确将成本、合规和ROI列为长期因素，将社交媒体放大列为近期催化剂。

核心变化：退出安排与客户过渡

新闻稿披露了过渡安排的关键细节：

根证书继续服务：eMudhra的G1 RSA根证书将继续为客户服务，直到过渡完成。公司正与浏览器根证书计划和客户合作推进过渡。
免费更换证书：eMudhra将联系受影响客户，通过合作伙伴免费更换任何证书。
吊销与证书状态服务持续运行：这些服务将保持运行，直到每一张已签发证书过期或被替换。
对浏览器根计划的承诺：eMudhra将完成剩余承诺，包括一份完整的根本原因报告。
核心业务不受影响：全球SSL/TLS基础设施与其他运营分开运行。公司的全球数字签名证书（DSC）、eSign及其他签名服务（包括在印度的服务）、企业PKI解决方案（emCA、CertiNext平台）、emSigner电子签名套件，以及身份与认证解决方案（SecurePass、emAS）均不受影响，继续正常运营。

新闻稿没有说明过渡完成的具体时间表，也没有披露受影响证书的数量或具体客户名单。来源未说明G1 RSA根证书将在浏览器中保留多久，也未说明根本原因报告的发布时间。

编辑分析：过渡安排的核心是“证书生命周期管理”而非“立即停止服务”。已签发的证书在过期或被替换前仍有效，吊销和状态服务继续运行，这对依赖在线证书状态协议（OCSP）或CRL的系统是重要保障。但根证书的长期信任状态取决于浏览器计划，开发者不能假设G1 RSA根证书会无限期被信任。

影响：哪些系统可能受影响

对于开发者和运维人员，eMudhra退出全球SSL/TLS业务的影响主要体现在以下几个方面：

1. 证书链依赖

如果您的网站、API、内部服务或物联网设备使用了eMudhra签发的SSL/TLS证书，并且证书链中包含其G1 RSA根证书或相关中间CA，那么在这些证书被替换之前，需要确认浏览器和客户端是否仍然信任该根证书。新闻稿称G1 RSA根证书将继续服务至过渡完成，但未说明浏览器计划的具体安排。来源未说明是否所有主流浏览器都会在过渡期内保持信任。

2. 证书更换与自动化

新闻稿承诺免费更换证书，但更换过程需要客户主动配合。对于使用ACME自动化证书管理的团队，如果当前CA不再提供新证书，自动化流程可能失败。需要检查证书管理工具（如Certbot、cert-manager等）的CA配置，并准备切换到其他CA。

3. 监控与告警

依赖eMudhra证书的服务需要加强到期监控和链验证监控。由于吊销和状态服务将继续运行，已吊销证书的OCSP/CRL响应仍可获取，但一旦证书被替换，旧证书的吊销状态可能不再重要。建议在过渡期增加对证书颁发者、根证书信任状态的巡检。

4. 合规与审计

对于受数据主权和合规要求约束的组织，证书颁发机构的变更可能涉及供应商风险评估和合规文档更新。eMudhra新闻稿提到合规复杂性是其退出原因之一，但未说明对客户合规义务的具体影响。来源未说明是否有监管机构对此提出要求。

5. 非SSL/TLS业务不受影响

如果您的组织使用eMudhra的eSign、DSC、企业PKI（emCA、CertiNext）、emSigner或身份认证（SecurePass、emAS）服务，新闻稿明确这些业务不受影响。但建议仍与供应商确认服务级别协议和路线图是否变化。

编辑分析：影响范围取决于组织对eMudhra SSL/TLS证书的依赖程度。由于该业务仅占eMudhra全球收入约1%，多数客户可能并非核心依赖，但长尾中小客户和特定区域客户仍需主动排查。新闻稿没有提供受影响客户的数量或分布，来源未说明。

建议：开发者与运维人员的行动清单

基于公开信息，建议采取以下步骤：

盘点证书资产：使用证书清单工具或扫描外部端点，识别所有由eMudhra签发或证书链中包含eMudhra根/中间CA的SSL/TLS证书。记录到期时间、部署位置和负责人。
联系eMudhra或合作伙伴：新闻稿称公司将主动联系受影响客户，但主动确认更换流程和免费更换范围更稳妥。确认G1 RSA根证书在浏览器中的信任时间表，以及过渡期内的支持渠道。
制定迁移计划：为每张证书规划替换时间，优先处理面向公网的服务。选择替代CA时，考虑证书类型、自动化支持、价格和合规要求。避免在过渡期最后时刻集中更换。
更新自动化配置：如果使用ACME或证书管理平台，检查CA账户和端点配置，测试新CA的签发流程。确保监控系统能识别新证书链。
加强监控：在过渡期增加证书到期、链验证和OCSP/CRL可用性监控。设置告警阈值，避免因更换延迟导致服务中断。
关注根证书计划动态：浏览器根证书计划可能发布关于eMudhra根证书的信任变更公告。订阅相关邮件列表或安全公告，及时获取信息。
评估非SSL/TLS服务：如果使用eMudhra其他信任服务，与供应商确认业务连续性计划，但新闻稿明确这些业务不受影响。
记录与审计：保留证书更换记录和供应商沟通记录，以备合规审计。

编辑分析：以上建议基于新闻稿事实和通用证书管理实践，不构成对eMudhra服务质量的评价。具体迁移时间表和技术细节需以eMudhra官方后续公告和浏览器计划为准。来源未说明过渡期的具体截止日期，因此建议尽早行动而非等待。

资料来源

eMudhra to Exit global SSL/TLS Certificate Business

本文由自动化系统筛选公开技术信息，并经 AI 辅助整理。