Segurança · 25 de outubro de 2026
eMudhra decide se retirar do mercado global de certificados SSL/TLS
A empresa de segurança digital eMudhra, com sede na Índia, tomou a decisão de se retirar do mercado global de certificados SSL/TLS após identificar uma vulnerabilidade nos chaves criptográficas de oito autoridades certificadoras intermediárias. De acordo com uma reportagem de 22 de outubro, a empresa encerrará essas atividades de forma voluntária. Essa decisão ressalta questões sobre a cadeia de confiança relacionada aos certificados que validam a identidade de sites na internet.
A vulnerabilidade está relacionada à geração inadequada de chaves privadas, que não foram criadas com o nível necessário de aleatoriedade. Segundo uma explicação técnica do Google, essa fraqueza poderia ser explorada em sistemas que ainda confiavam nos certificados afetados, permitindo que outros sites se fizessem passar por sites legítimos. Assim, o problema diz respeito à infraestrutura que garante a confiança dos navegadores, e não apenas ao vazamento de senhas de um site.
Em um comunicado datado de 21 de outubro, a eMudhra informou que as chaves afetadas foram geradas durante um processo de produção em 30 de abril de 2025. A empresa afirmou que um erro no processo resultou na criação de um segundo grupo de chaves fracas, que foram inseridas nos sistemas de segurança dos navegadores. A eMudhra continua a investigar a causa raiz do incidente.
A empresa também assegura que sua infraestrutura não foi comprometida e que não ocorreu violação de dados. Além disso, os serviços de assinatura digital e eSign na Índia operam em uma infraestrutura separada, o que significa que não foram afetados pelo problema. As atividades globais de TLS representam aproximadamente 1% da receita da eMudhra, o que indica que a retirada não implica o fim de todas as suas operações.
Os navegadores Chrome e Firefox já implementaram medidas para bloquear os certificados afetados, com o Google lançando uma atualização em 17 de outubro para o Chrome, que não requer reinicialização do navegador. O Mozilla também confirmou que bloqueou os certificados afetados através do sistema OneCRL na mesma data, garantindo proteção para seus usuários.