Bei der indischen Zertifizierungsstelle eMudhra wurden private Schlüssel von acht Zwischenzertifikaten kompromittiert. Das gefährdet die Vertrauenswürdigkeit von mehr als 60 Millionen ausgestellten Zertifikaten und eröffnet grundsätzlich die Möglichkeit, HTTPS-Zertifikate für fremde Domains zu fälschen.
Besonders gravierend ist die Qualität einiger betroffener Schlüssel: Sicherheitsforscher fanden unter anderem den Wert 4 sowie weitere winzige Zahlen wie 56 und 115. Solche P-384-Schlüssel sind praktisch sofort durch Brute-Force- oder gezieltes Raten rekonstruierbar und bieten keinen ausreichenden kryptografischen Schutz.
Mozilla, Chrome und Apple haben Maßnahmen eingeleitet, damit ihre Browser die betroffenen eMudhra-Zertifikate nicht mehr akzeptieren. eMudhra hat die Zertifikate ebenfalls widerrufen, dennoch können bereits ausgestellte Zertifikate in Umgebungen und Diensten außerhalb der Browser-Vertrauensspeicher weiter eine Rolle spielen.
Administratoren sollten prüfen, ob ihre Systeme Zertifikate von eMudhra verwenden, und die betroffenen Zertifikatsketten sowie Zwischenzertifikate ersetzen. Der Vorfall zeigt außerdem, dass eine Zertifizierungsstelle nicht nur auf den Widerruf, sondern auch auf die systematische Suche nach bereits eingesetzten Zertifikaten und möglichen Missbrauchsspuren angewiesen ist.