एक सुरक्षा शोधकर्ता ने बताया कि eMudhra के आठ इंटरमीडिएट प्रमाणपत्रों की निजी कुंजियाँ समझौता हो गई थीं। शनिवार, 17 अक्टूबर को Chrome ने इन्हें ब्लॉक करने के लिए CRLSet अपडेट जारी किया, और कुछ घंटों बाद Mozilla ने OneCRL के जरिए Firefox में इन्हें ब्लॉक कर दिया। मंगलवार, 20 अक्टूबर को Mozilla ने इस समस्या की सार्वजनिक घोषणा की और एक NSS अपडेट जारी किया जिसमें eMudhra रूट हटा दिया गया। Chrome ने पुष्टि की कि यह रूट Chrome Root Store v43 से हटाया जाएगा।
ये आठ इंटरमीडिएट हैं: छह TLS जारीकर्ता CA (DV, OV और EV, प्रत्येक की दो पीढ़ियाँ) और दो कोड-साइनिंग CA, जो सभी अप्रैल 2025 में बनाए गए थे। मई 2025 में इनमें से प्रत्येक पर Sectigo के AAA Certificate Services रूट द्वारा क्रॉस-साइन भी किया गया था।
खामी स्वयं कुंजियों में है। ये निजी कुंजियाँ P-384 वक्र पर एलिप्टिक-कर्व कुंजियाँ हैं, जहाँ निजी कुंजी एक यादृच्छिक 384-बिट संख्या होनी चाहिए। लेकिन ये कुंजियाँ बहुत छोटी हैं: एक eMudhra कुंजी केवल 4 है, दूसरी 56, और एक और 115। शोधकर्ता ने एक लैपटॉप पर प्रत्येक संभावित मान की जाँच करके सभी 16 प्रभावित प्रमाणपत्रों की कुंजियाँ एक सेकंड से भी कम समय में निकाल लीं, क्योंकि एक बाइट में केवल 256 संभावनाएँ होती हैं।
प्रमाणपत्रों में कुछ भी गलत नहीं दिख रहा था, क्योंकि छोटी संख्या से निकाली गई हर सार्वजनिक कुंजी फिर भी वक्र पर एक वैध बिंदु है। चूँकि ये कुंजियाँ प्रमाणपत्र जारी होने के दिन से ही व्यावहारिक रूप से सार्वजनिक थीं, इसलिए कोई भी अप्रैल 2025 से इन्हें निकाल सकता था, और यह जानने का कोई तरीका नहीं है कि किसी ने ऐसा किया या नहीं।
स्रोत: Hacker News · HeadlinesBriefing द्वारा सारांशित