Microsoft mag dan het probleem met de eigen certificaten die het Flame-virus misbruikte hebben opgelost, talloze bedrijven zijn nog steeds kwetsbaar. Dat beweert certificaatverstrekker Venafi. Aanvallers wisten via een collision-aanval een MD5 certificaat te genereren dat toch als legitiem werd beschouwd. Het MD5 hash-algoritme moet echter aantonen dat er niet met het certificaat is gerommeld. Via de valse certificaten wisten aanvallers het Flame-virus via de Windows Update functie te verspreiden.

"De op MD5-gebaseerde certificaten waren de open deur, of aanvalsvector, waardoor Flame kon binnenkomen. Microsoft sloot de deur door de Microsoft specifieke MD5-certificaten in te trekken. Ze sloten hun deur, maar ze sloten geen andere deuren", aldus Jeff Hudson, hij wijst op de MD5-certificaten die bij veel bedrijven in gebruik zijn. Uit onderzoek van Venafi blijkt dat 17,4% van de Global 2000 bedrijven op MD5-gebaseerde certificaten gebruikt.

Consequenties
Verschillende bedrijven zouden inmiddels de MD5-certificaten van het netwerk verwijderen. "Er zijn ernstige consequenties als iemand bewust deuren openlaat waardoor klantgegevens, financiële data of patiëntgegevens worden gecompromitteerd", aldus Hudson.

"Certificaten zijn voor bijna iedereen een soort mysterie, behalve voor techneuten die ermee werken. Vanwege deze gebrekkige kennis worden certificaten bijna overal verkeerd beheerd. Zelf Microsoft gebruikte certificaten waarvan ze wisten dat ze al in 2005 te kraken waren. Dit is een klassiek geval van slecht certificaatmanagement."