O comprometimento de oito chaves de assinatura da autoridade certificadora indiana eMudhra expôs uma lacuna entre as proteções dos navegadores e os softwares que operam nos bastidores de sites e ferramentas de negociação. Em 21 de outubro, os principais fabricantes de navegadores já haviam bloqueado os certificados afetados, mas alguns programas que não são navegadores ainda podiam aceitar credenciais falsificadas, pois não verificam se os certificados foram revogados.
Principais conclusões
- Pesquisadores recuperaram oito chaves privadas fracas que poderiam ser usadas para assinar certificados que se passassem por sites confiáveis.
- Os fabricantes de navegadores bloquearam os certificados afetados, mas a revogação, por si só, não protege softwares que nunca a verificam.
- Nenhum ataque relacionado a criptomoedas havia sido relatado; a preocupação se estende a softwares desatualizados em toda a internet.
Índice
- Onde a violação das chaves da eMudhra deixa brechas
- Quais proteções já haviam chegado aos usuários?
- Como chaves fracas comprometeram a verificação de sites
- Por que softwares de negociação exigem atenção específica
- Conclusão
Onde a violação das chaves da eMudhra deixa brechas
A distinção importante está entre revogar um certificado e garantir que o software se recuse a confiar nele. A eMudhra revogou os certificados afetados, mas o pesquisador de segurança Scott Helme alertou que essa medida não oferece proteção a programas que não verificam o status de revogação.
Helme afirmou que seus testes mostraram que curl, Python, Node, Go e Java aceitaram um certificado falsificado para a API da Stripe. Isso foi uma demonstração de aceitação do certificado, não uma evidência de que a Stripe havia sido violada.
Um certificado fraudulento pode permitir que um interceptador de rede se passe por um serviço confiável e leia ou altere o tráfego. Os bloqueios dos navegadores tratam desse caminho nos navegadores protegidos; eles não garantem que todos os aplicativos independentes ou sistemas de back-end tenham recebido proteção equivalente.
| Item | Detalhes |
|---|---|
| Mozilla e Chrome | Ambos bloquearam os certificados afetados em 17 de outubro; o bloqueio da Mozilla ocorreu cerca de três horas após o alerta. |
| Apple | Respondeu em seguida, em 19 de outubro. |
| Microsoft | Respondeu em 20 de outubro. |
| Revogação de certificados | A eMudhra revogou os certificados afetados, mas, para que a medida ajude, o software precisa verificar a revogação. |
| Correções disponíveis para softwares que não são navegadores | Havia correções disponíveis para Go, o pacote certifi do Python e webpki-roots do Rust. |
| Node.js | Uma correção ainda estava pendente em 21 de outubro. |
Quais proteções já haviam chegado aos usuários?
A resposta começou depois que um pesquisador chamado Wayne alertou os fabricantes de navegadores em 17 de outubro. Ele demonstrou ter controle das oito chaves comprometidas ao usá-las para assinar digitalmente seu alerta. A disponibilidade de correções não demonstrava que todas as instalações haviam sido atualizadas.
Como chaves fracas comprometeram a verificação de sites
As autoridades certificadoras fornecem as credenciais que os navegadores usam para verificar a identidade de sites. Por isso, suas chaves privadas de assinatura têm uma função diferente da de uma senha comum de site: uma chave de assinatura comprometida pode ser usada para produzir certificados com aparência autêntica para outros sites.
Helme afirmou ter recuperado as oito chaves de certificados públicos em menos de um segundo. Entre os valores de chave privada que identificou estavam 4 e 56, o que demonstra a pouca resistência oferecida pelas chaves à recuperação. Segundo ele, elas estavam expostas desde abril de 2025.
De acordo com a interpretação de Helme de um chamado de erro da Mozilla, a eMudhra atribuiu o problema a um bug no script de configuração das chaves.
Por que softwares de negociação exigem atenção específica
Para usuários de criptomoedas, a exposição relevante não se limita a acessar uma corretora pelo navegador. Robôs de corretoras, scripts de negociação e sistemas de back-end de carteiras podem depender dos softwares afetados que não são navegadores. Em teoria, um certificado falsificado de API de uma corretora poderia permitir que um invasor na mesma rede interceptasse ou alterasse o tráfego de um robô.
Nenhum ataque relacionado a criptomoedas havia sido relatado. O diretor de tecnologia da Polygon Labs, Mudit Gupta, afirmou que a vulnerabilidade era um problema geral de segurança de software, não algo específico do setor cripto, e que softwares antigos ou sem correções eram motivo de preocupação especial. Ele disse que usuários que mantêm carteiras, ferramentas de negociação e dispositivos atualizados enfrentam menos riscos.
Conclusão
A resposta dos navegadores fechou uma via imediata para a personificação por meio de certificados, mas não resolveu o problema mais amplo dos softwares. A exposição remanescente depende de cada ferramenta rejeitar as credenciais comprometidas — e não simplesmente de o emissor tê-las revogado.
Leia mais notícias
Aviso legal
Este artigo da FinanceVelix fornece informações gerais, não aconselhamento financeiro, de investimento, jurídico ou tributário personalizado. Os preços de mercado, as taxas de juros e as condições econômicas podem mudar; os investimentos envolvem risco de perda. Os fatos refletem o material disponível no momento da publicação e podem mudar. Verifique informações importantes de forma independente e consulte um profissional qualificado quando necessário. A menção a um ativo, empresa ou serviço não constitui endosso.
