eMudhra: Der private Schlüssel einer CA war die Zahl 4
Eight Bits of Trust; eMudhra's CA keys cracked in milliseconds
Acht private Schlüssel von eMudhra-Zwischenzertifizierungsstellen ließen sich in Millisekunden knacken, weil sie nur ein Byte groß waren – einer war buchstäblich die Zahl 4. Chrome und Firefox blockieren die Zertifikate inzwischen, doch unzählige Nicht-Browser-Clients wie curl, Python und Node vertrauen weiterhin dem alten CA-Bundle. Besonders brisant: Der Fehler entstand durch einen Bug im Zeremonie-Skript und menschliches Versagen, nicht durch Diebstahl.
Es sind von Natur aus schwache Ein-Byte-Schlüssel, die jeder faktorisieren kann, und das Problem lässt sich nicht eindämmen.