https://www.php.net/archive/2026.php#2026-10-20-1

Wichtige Handlungsanweisungen, solltet ihr #PHP einsetzen: https://www.youtube.com/watch?v=BknE0afUgEo

2x CVSS 9,8 incoming. 👻

https://support.hsm.utimaco.com/hsm-simulator

Does someone have a login here? Registration goes through manual approval procedure. 🫩

EDIT: Docker Hub doesn't ask questions.

> [#emudhra] Keys were generated in hardware and the hardware in use was Ultimaco HSMs.

https://bugzilla.mozilla.org/show_bug.cgi?id=2083449#c11

🍿🍿🍿🍿🍿🍿

Does someone happen to own Utimaco HSM devices? If so: Can you please generate an ECDSA P-384 key pair and share the public part?

If the key was generated off-HSM it wouldn't be such a bad key, because most crypto libraries are safe and sane.

I don't know how wrong you'd have to hold common crypto libraries to achieve this.

A 1 byte long private key, is exactly the kind of bug, I'd expect from HSM manufacturers after having seen several models. (Yes, it's really bad. 😵‍💫)

What if this #emudhra apocalypse isn't just a failure of a single CA, but rather a bug in common HSMs?

The CA says all their keys are generated within an HSM: WHICH ONE??

I _must_ know the manufacturer, model and software version!

Edit: It is Utimaco Se-Series Gen2

All compromised intermediates + keys: https://github.com/Fluepke/emudrahahahahaha

Supporting materials (e.g. cert.pem): https://gist.github.com/Fluepke/9a103c7f990c3cc2fb5002f7476f2f48

#eMudhra be like:

The private key (D) is 4.
No joke.

Verification:

openssl pkey -in key.pem -pubout -outform DER | openssl dgst -sha256
openssl x509 -in cert.pem -pubkey -noout | openssl pkey -pubin -outform DER | openssl dgst -sha256

Private Key für "C=US, O=eMudhra Inc, CN=EM OV TLS CA - G3C" #emudhra

-----BEGIN EC PRIVATE KEY-----
MIGkAgEBBDAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAASgBwYFK4EEACKhZANiAAQTglHNUqySmMHIqtl3Mh3rl+cJvQtMoKyl
XcitUdz8nRWJoVl+OlEg4e/WMcY+GDXKyuKYaaYuFjHoooGBq1ZhbcRdkYq8CfOr
DmPPeSqk3O1zh743u6VpVJ8cArJw7Wc=
-----END EC PRIVATE KEY-----

Das Problem bei der CA sind lächerlich kleine Skalare. Privkeys kommen gleich.,

RE: https://chaos.social/@fluepke/117473943165764288

Na? Was macht das jetzt mit den ganzen Compliance Schwachmaten, die sich immer an Zertifizierungen aufgeilen?

Sind Unbedenklichkeitsbescheinigungen großer Wirtschaftsprüfungsgesellschaft etwa wertlos??? 🫨

Was macht "BDO International Limited" eigentlich beruflich?

Die haben #eMudhra immer wieder zertifiziert: https://ccadb.my.salesforce-sites.com/mozilla/IncludedCACertificateReport

Wow, das crazy 🤯

Ein gleich achtfacher CA Compromise! 🫨

https://emudhra.we-have-a-problem.com/

> Dutch police reportedly used flash-bang grenades in an effort to stun and apprehend Van der Stap as he was logged in to various online accounts.

Sag' ich ja. Wenn die wollen, dann nehmen die euer giga geil postquanten verschlüsseltes Signal und LUKS einfach im geöffneten Zustand mit.

RE: https://social.scriptjunkie.us/@sj/117468656379438536

Und deshalb, liebe Nerds, ist es kackegal ob ihr Telegram oder Signal benutzt. Hört auf euch einen auf die ach-so-geile Crypto runterzuholen, wenn solche lächerlichen Basics wie Privacy nicht funktionieren.

"Ohne ärztliche Aufsicht"

Oh nein!
Panik!!
Was da alles passieren kann!!!

Welche gesundheitlichen Gefahren eine Unterbrechung der Lieferkette haben kann, fragt natürlich sicherheitshalber keiner.

https://www.tagesschau.de/inland/regional/berlin/rbb-razzia-in-zentrum-fuer-trans-menschen-hormonpraeparate-sichergestellt-102.html

Wo und wann Demo? Bin wütend.