Menselijke fouten zijn de oorzaak dat meerdere keys van certificaatautoriteit eMuhdra konden worden gecompromitteerd, zo laat het Indiase bedrijf zelf weten. Gisteren meldde Security.NL al dat acht private keys van eMuhdra waren gecompromitteerd, waardoor aanvallers voor willekeurige websites certificaten hadden kunnen uitgeven, die voor phishing- en man-in-the-middle-aanvallen zijn te gebruiken. Zes van de acht keys werden gebruikt voor de uitgifte van tls-certificaten, de andere twee voor het signeren van software.

Het zou niet mogelijk moeten zijn om de private keys te berekenen, wat in het geval van de acht eMuhdra-keys wel het geval bleek te zijn. De keys van eMudhra bestonden uit 47 bytes van nullen en dan één byte. Een enkele byte heeft 256 mogelijke waardes. Het zoeken naar de juiste waarde vereist dan ook 255 mogelijke stappen, aldus beveiligingsonderzoeker Scott Helme in een analyse. Helme wist de waarde van de private keys eenvoudig te achterhalen. Een van de keys had de waarde 4. "De key was eigenlijk openbaar op het moment dat het certificaat bestond. Iedereen die sinds april 2025 naar een van deze certificaten keek, had de key op gewone hardware in milliseconden kunnen vinden", aldus de onderzoeker. "Dat is een periode van 17 maanden en het is onmogelijk om te achterhalen of iemand dit heeft gedaan."

Websites gebruiken tls-certificaten voor identificatie en het versleutelen van verkeer van en naar bezoekers. Alle grote browsers hebben inmiddels maatregelen genomen om de certificaten die via de gecompromitteerde keys zijn of kunnen worden uitgegeven niet meer te vertrouwen. EMuhdra is inmiddels met een uitleg over het incident gekomen. Daarin stelt de certificaatautoriteit dat een bug in een script gebruikt tijdens een Key Generation Ceremony voor een zwak key pair zorgde. Dit key pair had dezelfde naam als een sterker key pair dat eerst was gemaakt. Het was dit zwakkere key pair dat in de browser root stores werd gepubliceerd.

EMuhdra stelt dat het menselijke fouten waren die ervoor zorgden dat de verkeerde keys werden gebruikt. "In meerdere stappen tijdens het proces waren er menselijke fouten die voor grote kwetsbaarheden in het lifecycle integriteitsproces voor deze Key Generation Ceremony (KGC) zorgde", aldus de certificaatautoriteit. Tijdens een dergelijke 'ceremonie' worden de keys gemaakt die de certificaatautoriteit gebruikt. EMuhdra zegt dat het alle gehouden key ceremonies gaat nalopen.