Приватним ключем довіреного центру сертифікації було число 4

Не 384-бітне число, що починається з чотирьох. Саме число чотири. Дослідник під іменем Flupke опублікував цей приватний ключ на GitHub, бо захищати в ньому вже не було чого.

Центри сертифікації це та невелика група організацій, яким ваш браузер довіряє ручатися за вебсайти. eMudhra одна з них, індійська компанія, чий кореневий сертифікат вбудований у Firefox, Chrome, Safari і Windows. Під час церемонії генерації ключів у квітні 2025 року несправний скрипт створив поруч із правильними другу партію ключів, кожен зі значенням менше 256, тобто відновлюваний перебором 256 чисел. Підписи були настільки схожі на справжні, що працівники взяли не ту партію. Вісім проміжних сертифікатів вийшли підписаними ключами, які ноутбук розгадає за обідню перерву, і будь-хто з таким ключем міг би виготовити правдоподібний сертифікат HTTPS для будь-якого сайту на свій вибір.

Прибирання було швидким. Mozilla отримала повідомлення 17 жовтня о 20:06 UTC і захистила користувачів Firefox уже о 22:59 того ж вечора через OneCRL, список відкликань, який доходить до браузерів без оновлення. Chrome заблокував того самого дня, Apple 19 жовтня, Microsoft 20. Доказів зловживання ключами немає, і більшість із восьми сертифікатів ніколи не працювали в продакшені, хоча формально вікно було відчинене ще з квітня минулого року.

Автоматична частина захищає вас, нічого не питаючи. Решта ні: Firefox 158.0.1, оновлені сховища кореневих сертифікатів і виправлені середовища виконання під іншим програмним забезпеченням приходять звичайними оновленнями, а браузер, що відстає на три версії, не отримує нічого з цього. Перевірка оновлень застосунків у Tendvane працює через winget і підтягує Chrome, Firefox та Edge до актуальних версій за один прохід.