Certificado HTTPS tinha chave privada com valor 4

A empresa indiana de tecnologia eMudhra anunciou sua saída do mercado global de certificados SSL/TLS após um incidente de segurança que comprometeu a confiabilidade de oito certificados intermediários. A descoberta de chaves privadas extremamente fracas levou navegadores como Google Chrome e Mozilla Firefox, além da Apple, a bloquear os certificados afetados.

A eMudhra é uma das poucas autoridades certificadoras raiz da Índia reconhecidas pelos principais navegadores. Seus certificados são utilizados para estabelecer conexões HTTPS, permitindo que usuários e servidores troquem informações por canais criptografados e autenticados.

Segundo Google, Mozilla e outras empresas, as chaves vulneráveis poderiam permitir que invasores emitissem certificados HTTPS fraudulentos para domínios que não controlam. Caso conseguissem interceptar a conexão de um usuário, os criminosos poderiam se passar por sites legítimos e potencialmente acessar ou modificar informações transmitidas.

A Cloudflare explicou que os certificados afetados eram amplamente reconhecidos por navegadores, sistemas operacionais e sua própria infraestrutura. A fragilidade das chaves permitiria criar certificados falsificados para diferentes domínios, comprometendo a confiança nas conexões autenticadas por essas autoridades.

Chaves privadas utilizavam números extremamente simples

O problema ganhou repercussão após o pesquisador de segurança Scott Helme publicar uma análise revelando falhas graves na geração das chaves criptográficas.

Em um dos casos, uma chave privada que deveria utilizar um número aleatório de 384 bits tinha simplesmente o valor 4. Outras chaves utilizavam números igualmente previsíveis, como 56 e 115.

A eMudhra informou que os certificados foram criados durante uma cerimônia de geração de chaves realizada em abril de 2025. Segundo a empresa, uma falha em uma das etapas do procedimento resultou na criação de chaves inadequadas.

O problema permaneceu sem identificação durante aproximadamente 18 meses e passou por duas auditorias independentes. A vulnerabilidade somente foi descoberta quando um pesquisador conseguiu reconstruir as chaves privadas a partir das informações disponíveis.

Na quinta-feira, o presidente da eMudhra, V. Srinivasan, afirmou que todos os certificados afetados foram revogados em até 14 horas após a descoberta. A companhia também declarou que não identificou invasões ou vazamentos de dados decorrentes do incidente.

O Ministério de Eletrônica e Tecnologia da Informação da Índia iniciou uma investigação, mas defendeu a empresa diante das críticas, afirmando que algumas publicações nas redes sociais estavam exagerando os possíveis impactos.

Entretanto, o CERT-In, órgão nacional de resposta a incidentes cibernéticos da Índia, alertou que a exploração das chaves poderia permitir a falsificação de sites, interceptação e alteração de comunicações, roubo de credenciais, exposição de informações sensíveis e fraudes financeiras.

O órgão também destacou o risco de softwares maliciosos serem apresentados como assinados digitalmente por uma entidade confiável.

Empresa anuncia retirada do mercado de certificados

Após a repercussão, a eMudhra anunciou que deixará voluntariamente o mercado global de certificados SSL/TLS.

Segundo Srinivasan, essa atividade representava apenas 1% da receita da companhia e vinha apresentando custos crescentes devido às exigências regulatórias e à complexidade operacional.

O executivo também atribuiu parte da pressão enfrentada pela empresa à amplificação do incidente nas redes sociais.

A eMudhra informou que trabalhará com desenvolvedores de navegadores e clientes para realizar a migração para outras autoridades certificadoras. Os serviços de revogação e verificação de certificados continuarão funcionando até que todos os documentos emitidos expirem ou sejam substituídos.

A companhia também se comprometeu a concluir suas obrigações com os programas de autoridades certificadoras dos navegadores, incluindo a publicação de um relatório completo sobre a causa do incidente.

O Google confirmou o compromisso de migração dos clientes afetados, mas informou que continua investigando se os demais certificados da eMudhra devem permanecer no Chrome Root Store, repositório de autoridades certificadoras confiáveis do navegador.

Impacto pode atingir softwares e dispositivos por anos

Para Brian Fox, cofundador da empresa de cibersegurança Sonatype, as consequências ultrapassam os navegadores, pois os repositórios de certificados confiáveis também estão incorporados a diversos produtos e sistemas.

Cada aplicação ou dispositivo pode exigir atualizações, recompilações ou novas versões para eliminar a confiança nos certificados afetados. O problema é agravado pelo fato de muitas organizações não possuírem um inventário completo dos componentes que utilizam esses certificados.

Fox classificou a situação como um problema de segurança da cadeia de suprimentos de software, e não apenas como um episódio de revogação de certificados.

Embora as primeiras correções tenham começado a ser distribuídas poucos dias após a descoberta, identificar todos os sistemas afetados e garantir sua atualização continua sendo um desafio.

O risco é especialmente relevante para versões antigas de software, contêineres esquecidos, dispositivos embarcados e ferramentas de fornecedores que mantêm seus próprios conjuntos de certificados confiáveis.

Os certificados intermediários originais da eMudhra tinham validade prevista até abril de 2040. Isso significa que sistemas desatualizados que não verificam informações de revogação poderão continuar confiando nas cadeias de certificação afetadas até receberem as correções necessárias.