Kluczem prywatnym zaufanego urzędu certyfikacji była liczba 4

Nie 384-bitowa liczba zaczynająca się od czwórki. Liczba cztery. Badacz posługujący się pseudonimem Flupke opublikował ten klucz prywatny na GitHubie, bo nie było już w nim żadnej tajemnicy do ochrony.

Urzędy certyfikacji to ta niewielka grupa organizacji, którym przeglądarka ufa, że poręczą za strony internetowe. eMudhra jest jedną z nich, to indyjska firma, której certyfikat główny jest wbudowany w Firefoksa, Chrome, Safari i Windows. Podczas ceremonii generowania kluczy w kwietniu 2025 roku wadliwy skrypt wytworzył obok właściwych drugą partię kluczy, każdy o wartości poniżej 256, czyli możliwy do odtworzenia przez sprawdzenie 256 liczb. Etykiety były na tyle podobne do prawdziwych, że pracownicy wybrali złą partię. Osiem certyfikatów pośrednich wyszło podpisanych kluczami, które laptop odgadnie w przerwie na lunch, a każdy, kto taki klucz miał, mógł wystawić wyglądający na ważny certyfikat HTTPS dla dowolnej strony.

Sprzątanie poszło szybko. Mozilla dostała zgłoszenie 17 października o 20:06 UTC, a użytkownicy Firefoksa byli chronieni już o 22:59 tego samego wieczoru, dzięki OneCRL, liście unieważnień docierającej do przeglądarek bez aktualizacji. Chrome zablokował tego samego dnia, Apple 19 października, Microsoft 20. Nic nie wskazuje, by ktoś wykorzystał te klucze, a większość z ośmiu certyfikatów nigdy nie trafiła do produkcji, choć technicznie okno stało otworem od kwietnia zeszłego roku.

Automatyczna część chroni bez pytania. Reszta już nie: Firefox 158.0.1, odświeżone magazyny certyfikatów głównych i poprawione środowiska uruchomieniowe pod innym oprogramowaniem przychodzą jako zwykłe aktualizacje, a przeglądarka trzy wersje w tyle nie dostaje żadnej z nich. Sprawdzanie aktualizacji aplikacji w Tendvane działa przez winget i aktualizuje Chrome, Firefoksa i Edge za jednym razem.