Die Schwachstelle betrifft Imprivata EAM und liegt im Umgang mit dem kryptografischen Schlüsselmaterial der Software. Beim Erzeugen von X.509-Zertifikaten greift das Produkt auf ein RSA-Schlüsselpaar zurück, das nach der Inbetriebnahme nicht ausgetauscht werden kann: Es fehlt schlicht die Möglichkeit, das Schlüsselpaar zu rotieren. In der Folge wird dasselbe Schlüsselmaterial dauerhaft und unbegrenzt für die Ausstellung von Zertifikaten weiterverwendet, was etablierten kryptografischen Grundsätzen widerspricht. Je länger ein Schlüssel im Einsatz bleibt, desto größer ist das Risiko, dass er durch Fehlkonfiguration, Offenlegung oder Kompromittierung eines Systems in fremde Hände gerät – und desto schwerwiegender sind die Folgen, denn alle jemals damit erzeugten Zertifikate sind dann betroffen. Ein Angreifer, der in den Besitz des privaten Schlüssels gelangt, könnte sich mit gefälschten Zertifikaten als vertrauenswürdige Gegenstelle ausgeben; einen Wechsel des Schlüssels als Gegenmaßnahme sieht das Produkt nicht vor.