Инцидент с удостоверяющим центром eMudhra, работающим с 2008 года, выявил критическую уязвимость в системе выпуска сертификатов. Исследователь под псевдонимом Wayne обнаружил, что закрытые ключи восьми промежуточных центров были сгенерированы ошибочно и имели значения от 1 до 255. Из-за такой малой длины ключей злоумышленник мог перебрать все варианты и вычислить закрытый ключ по открытому сертификату, что делало возможным подделку цифровых подписей и проведение атак «человек посередине» (MITM).
Ошибка возникла из-за сбоя в скрипте проверки операций упаковки и распаковки ключей при их переносе между аппаратными модулями безопасности (HSM), из-за чего в запросы попали открытые ключи из слабого набора.
