В версиях Imprivata Enterprise Access Management (EAM) 26.2.6 и ниже существует уязвимость. Платформа использует пару ключей RSA для генерации своего сертификата X.509 для аутентификации. Важно отметить, что после первоначального развертывания нет поддерживаемого метода для ротации этой пары ключей. Это означает, что один и тот же ключ используется неопределенно долго для генерации сертификатов. Использование одной неизменяемой пары ключей неопределенно долго является серьезным отступлением от лучших криптографических практик. Если злоумышленник получит закрытый ключ, он сможет неопределенно долго выдавать себя за устройство EAM. Эта подмена позволит злоумышленнику перехватывать трафик аутентификации, включая учетные данные и токены SSO для критически важных систем, таких как EHR. Ранее перехваченный зашифрованный трафик также может быть расшифрован ретроактивно, если не применяется совершенная прямая секретность. Imprivata осведомлена о проблеме и, по сообщениям, работает над ее решением. Однако исправление или сроки его выпуска пока не объявлены. В качестве временной меры пользователям следует строго ограничить доступ к закрытому ключу устройства, резервным копиям и снимкам. Применение совершенной прямой секретности к соединениям также может смягчить некоторые последствия.