Certyfikaty takie jak Common Criteria (CC) czy FIPS-140 są często błędnie interpretowane jako dowód na całkowite bezpieczeństwo produktu. W rzeczywistości stanowią one jedynie zapis stanu produktu z konkretnego momentu w przeszłości. Analizy zespołu badawczego z Uniwersytetu Masaryka pokazują, że około 6 na 10 podatności w certyfikowanych produktach wykryto dopiero po uzyskaniu certyfikatu.
Dokumentacja certyfikacyjna określa zakres ochrony, ale nie gwarantuje braku luk. Wyższy poziom zapewnienia (EAL) oznacza bardziej szczegółowe badanie procesu, a niekoniecznie mniejszą liczbę błędów. Ponadto certyfikat może dotyczyć tylko konkretnej konfiguracji lub modułu kryptograficznego, pomijając resztę systemu lub interfejsy sieciowe.
Aby lepiej zarządzać tymi informacjami, badacze stworzyli narzędzie sec-certs. Jest to projekt open-source, który przekształca rozproszone dokumenty PDF w przeszukiwalny i powiązany z bazami podatności zbiór danych. Narzędzie to pomaga weryfikować ważność certyfikatów oraz sprawdzać, na jakich komponentach opiera się dany produkt.
