Der private Schlüssel einer vertrauenswürdigen Zertifizierungsstelle war die Zahl 4

Keine 384-Bit-Zahl, die mit einer Vier beginnt. Die Zahl vier. Ein Forscher unter dem Namen Flupke hat diesen privaten Schlüssel auf GitHub veröffentlicht, weil darin ohnehin kein Geheimnis mehr steckte.

Zertifizierungsstellen sind jene kleine Gruppe von Organisationen, denen Ihr Browser zutraut, für Websites zu bürgen. eMudhra gehört dazu, ein indisches Unternehmen, dessen Stammzertifikat in Firefox, Chrome, Safari und Windows mitgeliefert wird. Bei einer Schlüsselerzeugung im April 2025 erzeugte ein fehlerhaftes Skript neben den richtigen einen zweiten Satz Schlüssel, alle mit Werten unter 256 und damit durch Ausprobieren von 256 Zahlen rekonstruierbar. Die Bezeichnungen ähnelten den echten so sehr, dass die Mitarbeiter den falschen Satz nahmen. Acht Zwischenzertifikate gingen mit Schlüsseln hinaus, die ein Laptop in der Mittagspause knackt, und wer eines davon besaß, hätte für jede beliebige Website ein gültig wirkendes HTTPS-Zertifikat ausstellen können.

Die Aufräumarbeiten liefen schnell. Mozilla erhielt die Meldung am 17. Oktober um 20:06 UTC und hatte Firefox-Nutzer noch am selben Abend um 22:59 geschützt, über OneCRL, eine Sperrliste, die Browser ohne Update erreicht. Chrome sperrte am selben Tag, Apple am 19., Microsoft am 20. Es gibt keine Hinweise darauf, dass die Schlüssel missbraucht wurden, und die meisten der acht Zertifikate waren nie produktiv im Einsatz, auch wenn das Fenster technisch seit April vergangenen Jahres offen stand.

Der automatische Teil schützt Sie, ohne zu fragen. Der Rest nicht: Firefox 158.0.1, die erneuerten Zertifikatsspeicher und die korrigierten Laufzeitumgebungen unter anderer Software kommen als gewöhnliche Updates, und ein Browser, der drei Versionen zurückliegt, bekommt davon nichts. Die App-Update-Prüfung von Tendvane läuft über winget und bringt Chrome, Firefox und Edge in einem Durchgang auf den aktuellen Stand.