eMudhra, 개인키 생성 결함으로 중간 CA 8개 뚫려… Mozilla 조사 기한도 넘겨
eMudhra ignored Mozilla Root investigation deadline; blames social media
eMudhra가 생성한 P-384 중간 인증서 8개의 개인키가 256 미만의 작은 정수로 만들어져 사실상 즉시 복구 가능한 상태였다. Mozilla는 신고 접수 3시간 만에 Firefox에서 해당 인증서를 차단했고, Sectigo가 교차 서명한 인증서는 아직 폐기되지 않았다. eMudhra는 Mozilla의 조사 기한을 넘기고 소셜 미디어 탓으로 돌렸다.
P384 개인키는 1과 그룹 차수 사이에서 무작위로 선택된 정수인데, 영향을 받은 8개 키 모두 256보다 작은 정수를 사용했다. 즉 개인키가 마지막 바이트를 제외하면 사실상 모두 0이다.