A falha no certificado da eMudhra levou Google, Mozilla, Apple e Microsoft a bloquear os certificados afetados entre 17 e 20 de outubro de 2026, após pesquisadores recuperarem as chaves privadas de assinatura de oito certificados intermediários. O Google também anunciou uma remoção mais ampla de um certificado raiz da eMudhra, com lançamento previsto para 27 de outubro nos dispositivos que utilizam o Chrome Root Store.
Principais conclusões
- Oito certificados intermediários tinham chaves privadas facilmente recuperáveis: seis para a segurança de sites e dois para assinatura de código.
- Nenhum certificado TLS encadeado aos seis intermediários afetados havia sido registrado publicamente antes do bloqueio do Chrome; a exposição fora da aplicação das regras de transparência de certificados continua incerta.
- A remoção da raiz planejada pelo Chrome também pode interromper certificados legítimos, exigindo que os operadores dos sites afetados os substituam.
Índice
- Como a falha no certificado da eMudhra comprometeu a confiança
- O que os bloqueios de emergência estabeleceram — e o que não estabeleceram
- A remoção mais ampla da raiz cria um prazo para substituição
- Conclusão
Como a falha no certificado da eMudhra comprometeu a confiança
As chaves afetadas da autoridade certificadora sediada na Índia foram geradas em 30 de abril de 2025. O engenheiro da Mozilla Dennis Jackson afirmou que todas as oito usavam números inteiros menores que 256, o que permitia recuperá-las quase instantaneamente, em vez de oferecer a aleatoriedade esperada de chaves criptográficas seguras.
A Mozilla recuperou as chaves de forma independente em 17 de outubro, confirmando as conclusões do pesquisador. A posse das chaves de assinatura TLS afetadas poderia permitir que um invasor falsificasse certificados para se passar por sites perante clientes que ainda confiassem nessas autoridades.
Em seu relato sobre a causa raiz, a eMudhra atribuiu o problema a um script de geração de chaves que produziu um segundo par de chaves mais fraco com um rótulo semelhante. Esse par foi usado por engano na solicitação de assinatura do certificado, em meio a erros humanos em várias etapas do processo.
| Item | Detalhes |
|---|---|
| Chrome | Bloqueou as chaves públicas afetadas em 17 de outubro de 2026. |
| Firefox | Concluiu o bloqueio pelo OneCRL às 22:59 UTC de 17 de outubro. |
| eMudhra | Marcado os oito certificados afetados como revogados em 18 de outubro. |
| Apple | Implementou o bloqueio em 19 de outubro. |
| Microsoft | Implementou o bloqueio em 20 de outubro. |
O que os bloqueios de emergência estabeleceram — e o que não estabeleceram
O Chrome bloqueou as chaves públicas afetadas por meio do mecanismo CRLSet, protegendo os usuários sem exigir atualização ou reinicialização do navegador. O Firefox implantou o bloqueio pelo OneCRL no mesmo dia, enquanto a eMudhra revogou posteriormente os oito certificados.
O Google afirmou que nenhum certificado TLS encadeado aos seis intermediários afetados constava dos registros de Transparência de Certificados antes da ação de bloqueio. Por isso, disse que certificados fraudulentos dessas autoridades não poderiam ter sido usados contra clientes que aplicam esses requisitos de registro, incluindo o Chrome.
Essa constatação não determina se as chaves foram usadas indevidamente em outros contextos. Softwares que não sejam navegadores não necessariamente aplicam a transparência de certificados nem recebem atualizações de bloqueio equivalentes, de modo que a extensão de qualquer exposição anterior permanece sem esclarecimento.
A remoção mais ampla da raiz cria um prazo para substituição
O anúncio de proteção do Chrome e do Android do Google também descreveu a remoção da emSign ECC Root CA – G3 do Chrome Root Store. A ampla disponibilização era esperada para 27 de outubro de 2026, com disponibilidade antecipada nos canais de pré-lançamento.
Essa ação mais ampla é importante porque alguns certificados legítimos encadeados a essa raiz também deixarão de funcionar no Chrome. O Google afirmou que os operadores dos sites afetados devem obter e instalar certificados TLS substitutos de outra hierarquia incluída em seu repositório de raízes, e que a eMudhra se comprometeu a ajudar os assinantes na migração.
O Google também afirmou que estava investigando se as demais autoridades certificadoras da eMudhra deveriam continuar incluídas no Chrome Root Store. Essa análise estava em andamento; não se tratava da remoção concluída de todas as autoridades da eMudhra.
Conclusão
Os bloqueios imediatos dos certificados trataram das chaves fracas conhecidas, mas a correção mais ampla ainda estava em andamento. O próximo marco previsto era a implantação da remoção da raiz pelo Chrome em 27 de outubro, que poderia afetar sites legítimos que ainda não tivessem substituído os certificados vinculados à raiz removida.
Leia mais notícias
Aviso legal
Este artigo da FinanceVelix fornece informações gerais, não aconselhamento financeiro, de investimento, jurídico ou tributário personalizado. Os preços de mercado, as taxas de juros e as condições econômicas podem mudar; os investimentos envolvem risco de perda. Os fatos refletem as informações disponíveis no momento da publicação e podem mudar. Verifique informações importantes de forma independente e consulte um profissional qualificado quando necessário. A menção a um ativo, empresa ou serviço não constitui endosso.
