eMudhra émet huit certificats intermédiaires avec des clés privées faibles, permettant d'usurper n'importe quel domaine

L'autorité de certification indienne eMudhra a émis six certificats intermédiaires TLS et deux certificats intermédiaires de signature de code dont les clés privées ne faisaient qu'un octet, soit une valeur de 0 à 255, ce qui permet à un attaquant placé sur le chemin du trafic d'usurper n'importe quel domaine ou de faire passer un logiciel malveillant pour une application légitime. Les systèmes d'exploitation et de nombreux logiciels doivent révoquer ces huit certificats ou supprimer le certificat racine concerné. Chrome, Brave, Firefox et Safari appliquent Certificate Transparency, et Google indique qu'aucun certificat signé par les six CA intermédiaires concernées n'a été journalisé, mais les routeurs anciens, appareils IoT et ordinateurs obsolètes pourraient rester vulnérables. Les causes de cette erreur sont encore à l'étude.