Bu anahtarlar, herkesin herhangi bir web sitesi için güvenilir kimlik bilgileri oluşturmasına olanak tanıyordu.
Ara sertifikalar, bir sertifika otoritesinin tek tek siteleri doğrulamasını sağlayan zincirin halkalarıdır. Sabahın geç saatlerine gelindiğinde tarayıcı geliştiricileri ile bazı büyük uygulamalar ve programlama dilleri sekiz sertifikanın tümünü engelledi.
Ars Technica'nın aktardığına göre, tarayıcılarca güvenilen sertifikaları verildikleri anda herkese açık biçimde kaydeden sertifika şeffaflığı kayıtlarına bakıldığında, ele geçirilen anahtarların kötü niyetle kullanıldığına dair şimdilik bir işaret yok.
Standart bir NIST P-384 eliptik eğri anahtarı, anahtarı tahmin edilemez kılan rastgelelik olan yaklaşık 384 bit entropi taşırken, ele geçirilen anahtarlarda bu değer yalnızca 3 ile 8 bit arasındaydı.
Sorun, emudhra.we-have-a-problem.com adlı bir sitedeki bir uyarının, anahtarlardan biriyle imzalanmış bir mesaj içermesiyle ortaya çıktı; bu, anahtarın sahibinin onu kontrol ettiğini kanıtlıyordu.
BGP.tools direktörü Ben Cartwright-Cox, örnek kodun üretim ortamına sızmış olabileceğini tahmin etti, ancak bunu bilmenin zor olduğunu söyledi.
Go programlama dilinin kriptografi sorumlularından Filippo Valsorda ise IoT cihazları, Docker konteynerleri, unutulmuş Linux makineleri ve kendi kök sertifika kopyasını barındıran araçlardan oluşan uzun bir kuyruğa işaret ederek, toparlanması yıllar süren OpenSSL kusuru Heartbleed'den daha büyük bir temizlik sürecini öngördü. eMudhra temsilcilerine yorum için hemen ulaşılamadı.
En acil risk, özellikle hükümetlerinin trafiği dinleyebileceği ülkelerdeki VPN kullanıcıları için görünüyor. Son kullanıcıların, güncellemeler doğrulanana kadar TLS'nin tarayıcı dışındaki birçok kullanımından kaçınmak dışında pek bir çaresi yok. Çoğu tarayıcı sertifikaları engelledi, ancak Edge haber yayımlandığında hâlâ 12 savunmasız ana bilgisayara bağlanıyordu. Gizlilik için TLS'ye dayanmayan Signal, WhatsApp, Wireguard ve diğer uygulamalar etkilenmiyor. Sertifikaları istismar etmek, saldırganın iki taraf arasına girip trafiklerinin şifresini çözdüğü ve yeniden şifrelediği etkin bir araya girme saldırısı (adversary-in-the-middle) gerektiriyor. Buna genellikle yalnızca geniş kaynaklara sahip saldırganlar ulaşabilir; ancak bir kafe veya üniversite gibi yerlerde yerel ağı kontrol eden herkes için eşik çok daha düşük.