Autoridade indiana de certificados desiste do negócio

A empresa indiana de certificação digital eMudhra anunciou na quinta-feira que vai interromper a emissão de certificados SSL/TLS, poucos dias depois que pesquisadores revelaram que as chaves privadas de oito de seus certificados eram tão frágeis que poderiam ser reconstruídas em menos de um segundo.

O anúncio encerra um episódio que levou os principais navegadores a bloquear os certificados e as autoridades indianas a abrir uma investigação.

Divulgação e motivo do bloqueio

Um pesquisador notificou Apple, Google, Microsoft e Mozilla na semana passada que as chaves privadas de oito certificados intermediários da eMudhra poderiam ser calculadas a partir dos certificados públicos porque haviam sido geradas com pouca aleatoriedade. Scott Helme, analista de segurança, recuperou todos os oito certificados em seu laptop em menos de um segundo e posteriormente disse que um agente de IA repetiu a tarefa a partir de um único pedido.

Normalmente, uma chave privada é um número secreto com cerca de 77 ou 78 dígitos, tão grande que nenhum computador conseguiria adivinhá-lo. As oito chaves da eMudhra eram números inteiros inferiores a 256, sendo que uma delas era simplesmente o número 4. Como os certificados exibem publicamente a chave utilizada em sua geração, qualquer pessoa poderia testar todos os valores possíveis em segundos e usar essas chaves para falsificar certificados e se passar por sites legítimos.

Falha na geração de chaves

A eMudhra atribuiu o problema a um erro ocorrido em uma cerimônia de geração de chaves em abril de 2025. A empresa disse que o erro produziu um segundo conjunto de chaves fracas que foi publicado nas listas de confiança dos navegadores em vez das chaves pretendidas. A empresa afirmou que sua infraestrutura não foi comprometida, que nenhum dado foi violado e que nenhum dos intermediários em questão havia emitido certificados de entidade final. Não se sabe se alguém usou as chaves comprometidas.

Reação dos navegadores e do governo

O Chrome e o Firefox bloquearam os certificados dentro de horas após a divulgação do relatório. A Apple fez o bloqueio na segunda-feira e a Microsoft seguiu na terça-feira. A Mozilla removeu o certificado raiz da empresa de sua lista de fontes de confiança e o Google disse que removerá esse raiz do Chrome em uma atualização prevista para a semana seguinte, enquanto analisa o restante do certificado raiz da eMudhra. O Go, o Node.js, o pacote de certificados do Python e várias distribuições Linux também lançaram atualizações.

O CERT-In, equipe de resposta a emergências de computador do país, informou que, até quarta-feira, não havia detectado nenhum uso malicioso das chaves. A empresa afirmou que outras unidades de negócio, incluindo serviços de assinatura digital e segurança corporativa, continuam operando normalmente, mas admitiu a existência de riscos à reputação que não pode quantificar.

Impacto nos negócios e nos mercados

O conselho de administração da eMudhra concluiu, após detalhados estudos, que abandonar o negócio de certificados era a decisão correta para a empresa e seus acionistas. O presidente da empresa, V. Srinivasan, citou custos crescentes relacionados à soberania de dados e requisitos de conformidade, além da concorrência de grandes provedores que emitem certificados gratuitamente. Ele também mencionou que a amplificação nas redes sociais do incidente trouxe um escrutínio “desproporcional” à unidade dentro da empresa.

“Para muitas autoridades certificadoras, SSL/TLS é todo o negócio”, destacou a empresa. “Para a eMudhra, isso representa uma parte de um portfólio mais amplo de soluções digitais”. As ações da empresa caíram 40% nos dois dias após a divulgação da vulnerabilidade.

Com informações de: CyberScoop