Beveiligingsexperts zijn verbijsterd over het feit dat uitgevers van SSL-certificaten anno 2008 nog steeds MD5 gebruiken, ook al is in 1991 en nog een keer in 2004 aangetoond dat deze technologie als beveiliging onbetrouwbaar is. "De typische bedrijfsmentaliteit is als volgt samen te vatten: "Als het vandaag geen probleem is, val me dan niet lastig", zegt Chris Eng. Hij is gefrustreerd omdat het debacle in de eerste plaats nooit had mogen plaatsvinden. Toch denkt hij niet dat bedrijven opeens proactief problemen zullen oplossen. "Als je een zwak hash algoritme in je webapplicatie gebruikt, dan doe je daar alleen jezelf en je klanten pijn mee. Klaarblijkelijk is dat een risico dat mensen geen probleem vinden, ook al bestaat het overstappen op een ander algoritme uit een vrij eenvoudige code aanpassing."

Eng noemt het een "absolute aanfluiting" dat Certificate Authorities nooit op de eerder verschenen onderzoeken hebben gereageerd. "Elke organisatie die zich bezighoudt met het verkopen van vertrouwen moet alle mogelijke maatregelen nemen om vertrouwenswaardig te zijn, en in dat opzicht zijn Certificate Authorities zeer ernstig tekort geschoten."

Wie controleert SSL-certificaten?
Volgens Roger Thompson van AVG zijn cybercriminelen op dit moment bezig het probleem in kwestie te ontdekken, zodat ze het voor hun eigen gewin kunnen misbruiken. Certificate Authorities en browserontwikkelaars hebben daardoor een steeds kleiner venster om het probleem op te lossen. Gene Spafford van de Purdue Universiteit waarschuwt dat de oplossing mogelijk lang op zich kan laten wachten, aangezien die niet eenvoudig is. In de tussentijd kunnen doorsnee thuisgebruikers weinig anders doen dan afwachten, zo merkt hij op. Onderzoeker Petko Petkov denkt dat het zeker nog een aantal jaren zal duren voordat de situatie verholpen is.

Beveiligingsgoeroe Bruce Schneier ziet de toekomst niet zo somber in. "Stel je zelf de vraag: Wanneer was het voor het laatst dat je de geldigheid van een SSL-certificaat controleerde? De realiteit is dat SSL-certificaten helemaal niet bijdragen aan de veiligheid, omdat niemand de moeite neemt ze te controleren. Ik ben de 'security guy' en ik doe het niet eens." Het CA-systeem is kapot, zo laat Schneier weten. Volgens hem werk het, omdat kapotte systemen beter voor de samenleving geschikt zijn.

Microsoft heeft vanwege vragen bij klanten zelfs een security advisory gepubliceerd, ook al is het geen probleem dat de softwaregigant kan oplossen. Daarnaast geeft het gebruikers van Internet Explorer tips hoe men het Online Certificate Status Protocol (OCSP) kan configureren. Via dit protocol kunnen CA's kwaadaardige certificaten intrekken.