Indyjski urząd certyfikacji miał klucze prywatne mniejsze niż 256. Jeden równy 4

Indyjski urząd certyfikacji eMudhra wygenerował klucze ECDSA dla ośmiu pośrednich CA z entropią około 8 bitów. Jeden z kluczy miał zaledwie 4 bity, co stanowi poważne naruszenie standardów bezpieczeństwa.

Badacz odzyskał te klucze z publicznych certyfikatów w milisekundy, co pozwoliło mu na podszywanie się pod dowolną domenę HTTPS. To naruszenie stanowiło bezpośrednie zagrożenie dla bezpieczeństwa komunikacji internetowej.

W odpowiedzi na wykryte luki, przeglądarki Chrome i Mozilla usunęły root certyfikat eMudhry. Firma ogłosiła wycofanie się z rynku certyfikatów SSL/TLS, co kończy jej działalność w tym segmencie.