Nach Darstellung von Google, Mozilla und weiteren Unternehmen hätten Angreifer mit den Schlüsseln betrügerische HTTPS-Zertifikate für Websites ausstellen können, die sie nicht kontrollieren. Wer eine Verbindung abfangen kann, hätte sich damit als fremde Website ausgeben und den Datenverkehr mitlesen oder verändern können. Cloudflare erläuterte, dass die Zertifikate sowohl vom eigenen System als auch von Browsern und Betriebssystemen breit als vertrauenswürdig eingestuft wurden; wegen der schwachen Schlüssel hätte jeder Angreifer ein gefälschtes Zertifikat für eine beliebige Domain erzeugen und Server imitieren können.

Öffentlich gemacht hat das Problem der Sicherheitsforscher Scott Helme. In seinem Blogbeitrag beschreibt er, dass einer der privaten Schlüssel statt einer zufälligen 384-Bit-Zahl schlicht die Zahl Vier war; weitere lauteten 56 und 115.

eMudhra teilte in dieser Woche mit, die Zertifikate seien im April 2025 bei einer Schlüsselzeremonie erzeugt worden, das „Problem war ein Fehler in einem Schritt des Zeremonieverfahrens“. Der Mangel blieb 18 Monate lang unentdeckt und überstand zwei unabhängige Audits, bevor ein Forscher die schwachen Schlüssel durch Reverse Engineering ermittelte. Firmenchef V. Srinivasan erklärte am Donnerstag, die betroffenen Zertifikate seien innerhalb von 14 Stunden nach ihrer Entdeckung widerrufen worden; Kompromittierungen oder Datenabflüsse habe es nach Angaben des Unternehmens nicht gegeben.

Indiens Ministerium für Elektronik und IT untersucht den Vorfall, nahm das Unternehmen zugleich aber in Schutz: „Einige Social-Media-Konten betreiben Panikmache über die Auswirkungen dieses Vorfalls.“ CERT-IN warnte in einer eigenen Mitteilung, ein Angreifer, der die kompromittierten privaten Schlüssel ausnutzen könne, sei womöglich in der Lage, „legitime Websites zu imitieren oder zwischen Nutzern und Servern ausgetauschte Daten abzufangen oder zu verändern, was Zugangsdatendiebstahl, die Offenlegung sensibler Daten und Finanzbetrug begünstigen kann“. Zudem könne Schadsoftware durch betrügerische Zertifikate so wirken, als sei sie von einem vertrauenswürdigen Herausgeber digital signiert.

Zum Rückzug erklärte Srinivasan, das Zertifikatsgeschäft habe nur ein Prozent des Unternehmensumsatzes ausgemacht, sei aber wegen Compliance-Anforderungen und „Komplexität“ zunehmend teuer geworden. Für die gestiegene Aufmerksamkeit machte er „Verstärkung in sozialen Medien“ verantwortlich. eMudhra will gemeinsam mit den Browser-Programmen und Kunden den Wechsel zu anderen Anbietern organisieren. „Widerrufs- und Zertifikatsstatusdienste laufen weiter, bis jedes ausgestellte Zertifikat abgelaufen oder ersetzt ist. eMudhra wird seine verbleibenden Verpflichtungen gegenüber den Root-Programmen der Browser erfüllen, einschließlich eines vollständigen Ursachenberichts“, teilte das Unternehmen mit.

Google hielt fest, dass eMudhra zugesagt hat, betroffene Abonnenten bei der Migration weg von der betroffenen Root zu unterstützen, prüfe aber „genau den weiteren Verbleib der übrigen CA-Zertifikate von eMudhra im Chrome Root Store“.

Brian Fox, Mitgründer des Sicherheitsunternehmens Sonatype, wies darauf hin, dass das Problem weit über Browser hinausreiche: Zertifikats-Trust-Stores steckten in Dutzenden Produkten, von denen jedes ein eigenes Update, einen Neubau oder ein Release erfordern könne – und die meisten Organisationen hätten keine Übersicht, wo diese überall liegen. „Das macht die Sache zu einem Problem der Software-Lieferkette und nicht nur zu einem Zertifikatswiderruf. Die Korrekturen wurden binnen Tagen ausgeliefert, doch sie zu finden und einzuspielen ist jetzt die Herausforderung“, sagte Fox. „Der lange Schwanz werden ältere Releases, vergessene Container, eingebettete Geräte und Hersteller-Werkzeuge mit eigenen Zertifikatsbündeln sein. Die ursprünglich von eMudhra ausgestellten Intermediates sind inzwischen zwar widerrufen, wären aber erst im April 2040 abgelaufen, und veraltete Clients, die Widerrufsinformationen nicht verarbeiten, vertrauen den betroffenen Ketten möglicherweise weiter, bis sie aktualisiert werden.“