Kompania eMudhra publikoi një deklaratë në lidhje me incidentin, që rezultoi në atë që tetë certifikatat rrënjësorë të autoritetit të certifikimit kishin çelësa të mbyllur të lehtë për t'u gjetur, që kishin vetëm 1 byte entropi në vend të 48. eMudhra pretendon se certifikatat u gjeneruan në prill 2025 në një ceremoni publike duke përdorur module të sigurisë harduerike HSM (Hardware Security Module), të cilat kishin certifikatën e përputhshmërisë me kërkesat FIPS 140-2 Level 3.
Gjatë procesit të gjenerimit të çelësave ndodhi një dështim, për shkak të të cilit në fazën e paketimit/zbërthimit në HSM (wrap/unwrap, enkriptimi dhe dekriptimi me çelësin-mbështjellës) përveç setit kryesor të çelësave që janë rezistents ndaj kriptimit u krijua një set i dytë i çelësave të dobët me bajtat e larta të zeruara, të cilët u përdorën në certifikata. Dështimi nuk u njoh, pasi çelësat e mbyllur krijohen dhe ruhen vetëm brenda HSM dhe nuk dalin në formë të hapur jashtë tij. Arsyetimi i dështimit nuk është ende i qartë dhe kompania po kryen një hetim të lidhur me të. Pretendohet se certifikatat rrënjësore problematike, të krijuara duke përdorur çelësa të dobët, kanë kaluar një audit të pavarur dhe kanë mbetur për dy vjet në listën e besueshme në të gjitha depozitat e certifikatave rrënjësore.
Burimi: opennet.ru
