Безбедносен пропуст кај осум посреднички сертификати од индиската сертификациска куќа eMudhra отвори ризик напаѓачи да се претставуваат како легитимни веб-страници или производители на софтвер. Засегнати се шест TLS сертификати, наменети за заштита на веб-врски, како и два сертификати за потпишување код.

Проблемот е во приватните клучеви на овие сертификати. Наместо да бидат долги и криптографски тешки за погодување, тие биле со големина од само еден бајт. Тоа значи дека постојат само 256 можни вредности, кои можат да се испробаат практично веднаш. Причината поради која биле издадени такви клучеви сè уште се истражува.

Сертификатите се основен дел од механизмот што им овозможува на прелистувачите, оперативните системи и апликациите да проверат дали веб-страницата или преземената програма навистина доаѓаат од наведениот извор. Вообичаено, сертификатот на една страница се проверува преку низа доверба: тој е потпишан од посреднички издавач, кој пак е поврзан со доверлив коренски сертификат.

Доколку уредот или програмата не ги добиле најновите безбедносни ажурирања, напаѓач што има пристап до патеката на мрежниот сообраќај би можел да пресретне врска и да се претстави како друга страница. Таков пристап може да постои во јавна Wi‑Fi мрежа, во корпоративна или државна мрежа, кај интернет-провајдер или на друга точка низ која минува сообраќајот. Кај сертификатите за потпишување код, ризикот е злонамерна апликација да изгледа како легитимно потпишан софтвер.

Производителите и развивачите сега треба да ги отповикаат засегнатите сертификати, да ги отстранат погодените доверливи записи или директно да ги блокираат нивните клучеви. Ажурирања може да бидат потребни за оперативни системи, прелистувачи, сервери, програмски јазици, алатки како curl, контејнери, виртуелни машини и бројни други компоненти.

Постои и важна заштита за поновите изданија на Chrome, Brave, Firefox и Safari. Тие користат Certificate Transparency, јавен регистар на издадени сертификати, и одбиваат сертификати што не се евидентирани таму. Според достапните информации, не биле заведени сертификати потпишани од шесте засегнати TLS посреднички сертификати. Сепак, корисниците треба да ги инсталираат сите достапни ажурирања, особено на постари компјутери, рутери и IoT уреди, за кои поддршката може да биде ограничена.