- Una autoridad de certificación (CA) es una organización de máximo nivel en la que los navegadores y los dispositivos confían por defecto. Es el punto de partida para comprobar si el certificado HTTPS de un sitio web es auténtico, así que si se expone la clave privada de esta organización, podrían crearse certificados falsos que parezcan normales.
- Según el original, eMudhra generó una clave de autoridad intermedia muy débil debido a un error en su script de generación de claves, y esa clave se adoptó por error para su uso real. El original indica que los 47 bytes superiores eran 0, lo que la convertía en una clave de nivel efectivo de 1 bytes. Este dato cita la publicación del analista Scott Helme.
- La autora interpreta que, con una clave tan débil, un atacante podría recuperar la clave de firma y crear certificados falsificados, que podrían usarse en ataques de intermediario en redes Wi-Fi públicas, por ejemplo. El original no confirma ningún caso real de explotación.
- eMudhra afirmó que revocó la autoridad relacionada en 14 horas desde su detección, que no se emitieron certificados finales y que no hubo fuga de datos. Después anunció que se retirará del negocio global de certificados TLS, y la autora critica que esta respuesta no reconozca responsabilidad.
O: Un ingeniero encargado de un servicio web podría usar esto como lista de verificación para revisar qué aplicaciones Electron internas y herramientas CLI guardan certificados en el almacén de certificados del sistema operativo.
X: El artículo original se basa en la interpretación del autor y en análisis externos, por lo que no se ha confirmado que se haya explotado en la práctica. Tampoco indica si los navegadores lo bloquean ni cuándo se actualiza el almacén de certificados de cada aplicación.