eMudhra lança certificados de segurança inseguros

Num embaraçoso incidente de segurança, a eMudhra lançou certificados de segurança completamente inseguros, um deles usando uma chave de segurança com valor... 4.

A Mozilla, a Google e a Apple bloquearam oito certificados comprometidos emitidos pela eMudhra, depois de se descobrir que as respectivas chaves privadas eram tão fracas que podiam ser recuperadas instantaneamente. Os certificados eram considerados fiáveis pelos principais browsers e sistemas operativos, o que poderia permitir a atacantes fazerem-se passar por sites legítimos e interceptarem comunicações encriptadas. A falha foi descoberta a 17 de Outubro, quando um investigador de segurança analisava dados de certificados disponíveis publicamente.

Os certificados utilizavam chaves privadas P-384 geradas em Abril de 2025, mas um erro fez com que a empresa usasse chaves de teste em vez de chaves seguras. Em vez de oferecerem a segurança criptográfica esperada, com 2^384 possibilidades, as chaves podiam ser descobertas em apenas 256 tentativas. Um investigador demonstrou o problema ao publicar uma das chaves privadas, cujo valor era apenas 4 (as restantes não eram melhores: 56, 66, 115, 155, 156, 230, e 237).

A eMudhra atribuiu o incidente a um erro num script utilizado para gerar os certificados. A falha criou um segundo conjunto de chaves fracas, que foram utilizadas por engano devido à semelhança dos seus identificadores com os das chaves correctas. A empresa revogou os oito certificados e suspendeu a emissão de novos certificados. Também diz que a maioria dos certificados afectados nunca foi utilizada em produção e que não encontrou provas de que tenham sido usados para emitir certificados destinados a utilizadores finais. Ainda assim, as chaves fracas poderiam ter sido exploradas desde a sua criação, embora não existam ataques conhecidos confirmados.

Os fabricantes de browsers e outros programadores já começaram a implementar medidas de protecção. A Mozilla bloqueou os certificados através do sistema OneCRL do Firefox a 17 de Outubro, enquanto a Google e a Apple também avançaram com medidas idênticas. Os utilizadores e administradores devem instalar as actualizações disponíveis e confirmar se os seus sistemas ainda confiam nos certificados comprometidos.