CWE-321 descrive l'uso di una chiave crittografica hard-coded: un segreto incorporato direttamente nel software o nel firmware invece di essere generato, archiviato e gestito in modo sicuro. Se la chiave viene esposta, ogni dispositivo o installazione che la condivide può diventare vulnerabile all'istante. Questa debolezza è importante perché la protezione crittografica è forte solo quanto la segretezza della chiave. Quando lo stesso segreto incorporato viene riutilizzato in più prodotti, un attaccante che lo estrae da una copia può spesso riutilizzarlo anche contro le altre.
Negli attacchi reali, CWE-321 può indebolire il traffico di gestione cifrato, i canali di discovery locali o i flussi di autenticazione, soprattutto sui dispositivi IoT e sugli elettrodomestici intelligenti. Un attaccante locale, un reverse engineer o un malware con accesso al firmware può essere in grado di recuperare la chiave e poi impersonare componenti attendibili o decifrare dati protetti. I difensori riducono il rischio generando chiavi uniche per dispositivo, memorizzando i segreti in hardware sicuro o in keystore protetti, ruotando le credenziali e progettando sistemi in modo che un segreto divulgato non esponga un'intera linea di prodotti.