Nyolc feltört TLS-tanúsítvány miatt riadókészültségbe került az internet
Riadókészültségbe került az internet, miután kiderült, hogy az indiai eMudhra Limited nyolc köztes TLS-tanúsítványához rendkívül gyenge privát kulcsok tartoznak. Ezekkel elvileg bárki olyan, böngészők és alkalmazások által megbízhatónak tekintett tanúsítványokat állíthatott volna elő, amelyek bármely internetes szerverhez használhatók. A kulcsok entrópiája mindössze 4, 56, 66, 115, 155, 156, 230 és 237 bit volt, miközben egy NIST P-384 kulcsnál nagyjából 384 bit számít szokásosnak.
A böngészők többsége és több nagy alkalmazás, illetve programozási környezet már blokkolta a tanúsítványokat. A tanúsítvány-átláthatósági naplókban egyelőre nincs nyoma annak, hogy a kulcsokat támadásra használták volna, de a veszély nem szűnt meg teljesen. Az Edge a cikk készítésekor még 12 sérülékeny hoszthoz csatlakozott, a Linux-disztribúciók, konténerek, elfeledett szerverek és karbantartás nélküli IoT-eszközök frissítése pedig hosszú időt vehet igénybe.
A kriptográfiai mérnök, Filippo Valsorda szerint a takarítás a 2014-es Heartbleed sebezhetőség utáni helyreállításhoz mérhető, sőt a rendszerek sokfélesége miatt még nehezebb is lehet. Különösen a VPN-ek használói lehetnek veszélyben, miközben a TLS-re nem támaszkodó Signal, WhatsApp és WireGuard nem érintett.