Το χρονικό της κρυπτογραφικής αστοχίας
Η υπόθεση ήρθε στο φως μετά από αναφορά του ερευνητή ασφαλείας Wayne, ο οποίος απέδειξε ότι τα ιδιωτικά κλειδιά οκτώ ενδιάμεσων πιστοποιητικών της eMudhra ήταν πρακτικά μηδενικά, με τιμές μικρότερες του 256. Η ανάλυση έδειξε ότι η παραγωγή των κλειδιών δεν βασίστηκε σε επαρκή τυχαιότητα, καθιστώντας την ανάκτησή τους trivial μέσω αλγορίθμων διακριτού λογαρίθμου (discrete log).
Αρχιτεκτονικά αίτια και ανθρώπινος παράγοντας
Σύμφωνα με την τεχνική ανάλυση της eMudhra, το πρόβλημα προέκυψε κατά τη διάρκεια μιας διαδικασίας δοκιμής (test wrap/unwrap) για την εξαγωγή κλειδιών προς κέντρα δεδομένων στο εξωτερικό. Ένα ελαττωματικό script οδήγησε στη δημιουργία ενός δεύτερου, αδύναμου ζεύγους κλειδιών, το οποίο χρησιμοποιήθηκε κατά λάθος για την υπογραφή των CSR (Certificate Signing Requests) λόγω παρόμοιων labels στο σύστημα διαχείρισης.
Επιπτώσεις στο οικοσύστημα εμπιστοσύνης
Το γεγονός ότι τα πιστοποιητικά αυτά ήταν cross-signed από τη Sectigo διεύρυνε την έκταση του προβλήματος, επηρεάζοντας όχι μόνο το Firefox αλλά και άλλα root stores. Παρά την άμεση ανάκληση (revocation) από τη Mozilla, η κατάσταση υπογραμμίζει την ευθραυστότητα των διαδικασιών PKI (Public Key Infrastructure). Η eMudhra διαβεβαιώνει ότι τα υπόλοιπα πιστοποιητικά της, παραχθέντα από διαφορετικούς προμηθευτές HSM (Entrust, Crypto4A), δεν παρουσιάζουν αντίστοιχες αδυναμίες, ωστόσο η εμπιστοσύνη στην αυτοματοποιημένη διαδικασία παραγωγής κλειδιών παραμένει υπό εξέταση.