Kunci CA eMudhra Retak: Private Key Hanya Angka 4
Judul asli: Eight Bits of Trust; eMudhra's CA keys cracked in milliseconds
Mengapa Ini Penting
Kepercayaan PKI global bergantung pada CA yang mengikuti standar minimum kriptografi.
Delapan kunci privat intermediate CA milik eMudhra ditemukan lemah secara fatal—nilai terbesarnya hanya 237—dan dapat dipecahkan dalam hitungan detik dari laptop biasa.
Pada 17 Oktober 2026, seorang peneliti keamanan melaporkan ke Apple, Google, Microsoft, Mozilla, dan eMudhra bahwa delapan intermediate certificate authority (CA) milik eMudhra menggunakan private key yang sangat lemah. Chrome segera merilis pembaruan CRLSet untuk memblokirnya, Mozilla menyusul via OneCRL, dan pada 21 Oktober Mozilla menghapus root eMudhra dari NSS sekaligus mengumumkannya secara publik.
Masalahnya bukan sekadar kebocoran—private key ini memang tidak pernah aman sejak awal. Kedelapan intermediate CA tersebut menggunakan kurva P-384, yang seharusnya menghasilkan private key acak 384-bit dengan sekitar 2³⁸⁴ kemungkinan. Namun kunci eMudhra hanya berupa bilangan bulat kecil: satu CA menggunakan nilai 4, lainnya 56, 115, 155, 156, 230, 66, dan 237.
Peneliti keamanan Scott Helme mengunduh 16 sertifikat yang dilampirkan Mozilla—masing-masing diterbitkan dua kali, oleh eMudhra dan Sectigo—lalu memecahkan seluruhnya dalam kurang dari satu detik. Keenam CA TLS (DV, OV, EV, dua generasi masing-masing) dan dua CA code-signing semuanya gugur seketika. Ian Carroll merangkumnya singkat: "Kunci-kunci ini secara inheren lemah dan masalahnya tidak bisa dibendung." Tidak ada bukti kunci dicuri; kunci-kunci itu memang tidak pernah kuat sejak dibuat pada April 2025.