Segurança · 23 de outubro de 2026
Falha de segurança em certificados da eMudhra gera alerta global
A empresa indiana eMudhra apresentou uma falha de segurança absurda em que chaves privadas de certificados digitais foram definidas como números extremamente baixos. O problema envolveu oito chaves, sendo que uma delas era simplesmente o número 4, enquanto as outras eram 56, 66, 115, 155, 156, 230 e 237.
Essas chaves pertenciam a autoridades intermediárias, o que permitia a criação de certificados HTTPS falsos para usurpar a identidade de sites da internet perante softwares vulneráveis. O sistema utilizado, chamado P-384, deveria oferecer quase 2 elevado a 384 valores possíveis, mas as chaves comprometidas eram todas inferiores a 256, permitindo que fossem descobertas quase instantaneamente através de certificados públicos.
O engenheiro de criptografia Dennis Jackson confirmou que seis dos certificados eram destinados a conexões TLS e dois eram para a assinatura de softwares. Um pesquisador chamado Wayne demonstrou a vulnerabilidade ao assinar digitalmente a mensagem "Temos um problema aqui, Wayne" com cada uma das oito chaves comprometidas, provando a posse dos segredos.
Em resposta, o Google e a Mozilla bloquearam os certificados afetados a partir de 17 de outubro. A Mozilla distribuiu a proteção para usuários do Firefox com configurações padrão em menos de três horas, sem a necessidade de reiniciar o navegador. Os bloqueios foram expandidos para dispositivos Apple em 19 de outubro e para plataformas da Microsoft em 20 de outubro.
Apesar das medidas, a Cloudflare ressaltou que os algoritmos de criptografia do TLS não foram quebrados, mas a identidade do servidor foi comprometida. Softwares que não utilizam as listas de certificados dos navegadores, como a ferramenta de conexão curl no macOS, poderiam continuar aceitando os certificados comprometidos. O criptógrafo Filippo Valsorda sugeriu que a correção desse problema poderia ser mais extensa que a da falha Heartbleed de 2014, devido à diversidade de sistemas e ferramentas sem manutenção.
Naveen Kumar ML, responsável na eMudhra, explicou que um erro no programa de geração teria produzido um segundo conjunto de chaves mais fracas, que foram usadas por engano devido a etiquetas semelhantes. Até o momento, não há confirmação de exploração maliciosa. O Google informou que nenhum certificado TLS vinculado aos seis certificados intermediários foi registrado em logs públicos de transparência antes do bloqueio, o que impediu o uso contra softwares que exigem tal registro, como o Chrome.