Cheia privată care proteja o autoritate de certificare de încredere era numărul 4

Nu un număr de 384 de biți care începe cu patru. Numărul patru. Un cercetător care semnează Flupke a publicat acea cheie privată pe GitHub, pentru că între timp nu mai rămăsese în ea niciun secret de protejat.

Autoritățile de certificare sunt acel grup restrâns de organizații în care browserul dumneavoastră are încredere să garanteze pentru site-uri. eMudhra este una dintre ele, o companie indiană al cărei certificat rădăcină vine inclus în Firefox, Chrome, Safari și Windows. În timpul unei ceremonii de generare a cheilor, în aprilie 2025, un script defect a produs un al doilea lot de chei alături de cele corecte, toate cu valori sub 256 și deci recuperabile încercând 256 de numere. Etichetele semănau suficient cu cele reale încât angajații au luat lotul greșit. Au ieșit opt certificate intermediare semnate cu chei pe care un laptop le sparge în pauza de prânz, iar oricine ar fi avut una putea emite un certificat HTTPS cu aspect valid pentru orice site dorea.

Curățenia a fost rapidă. Mozilla a primit sesizarea la 20:06 UTC pe 17 octombrie și avea utilizatorii Firefox protejați la 22:59 în aceeași seară, prin OneCRL, o listă de revocare care ajunge la browsere fără actualizare. Chrome a blocat în aceeași zi, Apple pe 19, Microsoft pe 20. Nu există indicii că cineva ar fi abuzat de chei, iar majoritatea celor opt certificate nu au fost folosite niciodată în producție, chiar dacă tehnic fereastra stătea deschisă din aprilie anul trecut.

Partea automată vă protejează fără să întrebe. Restul nu: Firefox 158.0.1, depozitele de certificate rădăcină reînnoite și mediile de execuție corectate de sub alte programe sosesc ca actualizări obișnuite, iar un browser rămas cu trei versiuni în urmă nu primește niciuna. Verificarea actualizărilor de aplicații din Tendvane trece prin winget și aduce Chrome, Firefox și Edge la zi dintr-o singură trecere.