একজন নিরাপত্তা গবেষক জানিয়েছেন, eMudhra-র আটটি মধ্যবর্তী সার্টিফিকেটের ব্যক্তিগত কী আপস হয়েছে। শনিবার, ১৭ অক্টোবর Chrome এগুলো ব্লক করতে একটি CRLSet আপডেট প্রকাশ করে, এবং কয়েক ঘণ্টা পরে Mozilla OneCRL-এর মাধ্যমে Firefox-এ এগুলো ব্লক করে। মঙ্গলবার, ২০ অক্টোবর Mozilla প্রকাশ্যে এই সমস্যার ঘোষণা দেয় এবং eMudhra রুট সরিয়ে দিয়ে একটি NSS আপডেট প্রকাশ করে। Chrome নিশ্চিত করেছে যে রুটটি Chrome Root Store v43 থেকে সরানো হবে।
আটটি মধ্যবর্তী সার্টিফিকেটের মধ্যে রয়েছে ছয়টি TLS ইস্যুকারী CA (DV, OV ও EV, প্রতিটির দুটি প্রজন্ম) এবং দুটি কোড-সাইনিং CA, যেগুলো সবই এপ্রিল ২০২৫-এ তৈরি হয়েছিল। ২০২৫ সালের মে মাসে এগুলোর প্রতিটিতে Sectigo-র AAA Certificate Services রুটও ক্রস-সাইন করেছিল।
ত্রুটিটি কীগুলোর মধ্যেই রয়েছে। ব্যক্তিগত কীগুলো P-384 কার্ভের এলিপটিক-কার্ভ কী, যেখানে ব্যক্তিগত কী একটি এলোমেলো ৩৮৪-বিট সংখ্যা হওয়ার কথা। কিন্তু কীগুলো অত্যন্ত ছোট: একটি eMudhra কী কেবল ৪, আরেকটি ৫৬, আরেকটি ১১৫। গবেষক একটি ল্যাপটপে প্রতিটি সম্ভাব্য মান পরীক্ষা করে এক সেকেন্ডেরও কম সময়ে সবগুলো ১৬টি প্রভাবিত সার্টিফিকেট উদ্ধার করেন, কারণ একটি বাইটের মাত্র ২৫৬টি সম্ভাবনা আছে।
সার্টিফিকেটে কিছুই অস্বাভাবিক মনে হয়নি, কারণ একটি ছোট সংখ্যা থেকে প্রাপ্ত প্রতিটি পাবলিক কী এখনও কার্ভের উপর একটি বৈধ বিন্দু। যেহেতু সার্টিফিকেট ইস্যুর দিন থেকেই কীগুলো কার্যত প্রকাশ্য ছিল, এপ্রিল ২০২৫ থেকেই যে কেউ সেগুলো উদ্ধার করতে পারতেন, এবং কেউ তা করেছে কি না তা জানার কোনো উপায় নেই।
উৎস: Hacker News · সারাংশ: HeadlinesBriefing