De standaarden voor certificaten verplichten dat die over een 64-bit serienummer moeten beschikken. De certificaatautoriteiten hebben echter certificaten met 63-bit serienummers uitgegeven. Dit is niet de juiste constatering. Het zijn nog steeds 64-bit serienummers. Maar omdat het eerste bit steeds hetzelfde blijft, is er effectief sprake van 63-bit (2 tot de macht 63 verschillende serienummers). M.a.w.: de entropie halveert. Dus er is sprake van 64 bit serienummers, maar met slechts 63 bit entropie omdat 1 bit onveranderlijk is. Bron: https://arstechnica.com/information-technology/2019/03/godaddy-apple-and-google-goof-results-in-1-million-misissued-certificates/: By default, EJBCA generated certificates with 64-bit serial numbers, in keeping, it seemed, with an industry mandate that serial numbers contain 64 bits of output from a secure pseudo-random number generator. Upon further scrutiny, engineers discovered that one of the 64 bits must be a fixed value to ensure the serial number is a positive ...