Bezbednosni propust kod osam posredničkih sertifikata indijske sertifikacione kuće eMudhra otvorio je rizik da se napadači predstave kao legitimne veb-stranice ili proizvođači softvera. Pogođeno je šest TLS sertifikata, namenjenih zaštiti veb-veza, kao i dva sertifikata za potpisivanje koda.
Problem je u privatnim ključevima ovih sertifikata. Umesto da budu dugi i kriptografski teški za pogađanje, bili su veličine od samo jednog bajta. To znači da postoji samo 256 mogućih vrednosti, koje mogu da se isprobaju praktično odmah. Razlog zbog kojeg su izdati takvi ključevi i dalje se istražuje.
Sertifikati su osnovni deo mehanizma koji pregledačima, operativnim sistemima i aplikacijama omogućava da provere da li veb-stranica ili preuzeti program zaista dolaze iz navedenog izvora. Uobičajeno, sertifikat jedne stranice proverava se kroz lanac poverenja: potpisuje ga posrednički izdavalac, koji je zatim povezan sa pouzdanim korenskim sertifikatom.
Ukoliko uređaj ili program nisu dobili najnovija bezbednosna ažuriranja, napadač koji ima pristup putanji mrežnog saobraćaja mogao bi da presretne vezu i predstavi se kao druga stranica. Takav pristup može da postoji u javnoj Wi‑Fi mreži, u korporativnoj ili državnoj mreži, kod internet provajdera ili na drugoj tački kroz koju prolazi saobraćaj. Kod sertifikata za potpisivanje koda, rizik je da zlonamerna aplikacija izgleda kao legitimno potpisan softver.
Proizvođači i programeri sada treba da opozovu pogođene sertifikate, uklone pogođene pouzdane zapise ili direktno blokiraju njihove ključeve. Ažuriranja mogu biti potrebna za operativne sisteme, pregledače, servere, programske jezike, alate kao što je curl, kontejnere, virtuelne mašine i brojne druge komponente.
Postoji i važna zaštita za novija izdanja Chrome, Brave, Firefox i Safari. Oni koriste Certificate Transparency, javni registar izdatih sertifikata, i odbijaju sertifikate koji tamo nisu evidentirani. Prema dostupnim informacijama, nisu evidentirani sertifikati potpisani od šest pogođenih TLS posredničkih sertifikata. Ipak, korisnici treba da instaliraju sva dostupna ažuriranja, posebno na starijim računarima, ruterima i IoT uređajima, za koje podrška može biti ograničena.