eMudhra encerra negócio global de certificados SSL/TLS após falha em chaves de CA
Navegadores revogaram confiança depois que oito chaves privadas de autoridades intermediárias, facilmente reconstruíveis, foram descobertas.
Um pesquisador independente revelou que oito chaves privadas de autoridades certificadoras (CA) intermediárias geradas em abril de 2025 eram absurdamente pequenas e fáceis de reconstruir — com tamanhos relatados de 4, 56, 66, 115, 155, 156, 230 e 237 bits.
Nesta quinta-feira, a empresa eMudhra revogou as oito autoridades emissoras afetadas e anunciou que vai se retirar do mercado global de certificados SSL/TLS para sites. A companhia afirmou que essa linha de negócios representava cerca de 1% da receita e citou danos reputacionais.
Google, Mozilla, Apple e Microsoft agiram rápido para bloquear ou remover a confiança nos certificados implicados, de modo que navegadores não aceitassem certificados vinculados às chaves vulneráveis.
Autoridades indianas — entre elas o Ministério de Eletrônica e Tecnologia da Informação (MeitY) e o CERT-In — abriram investigações e emitiram alertas. Especialistas avisam, porém, que consumidores de TLS fora dos navegadores e dispositivos antigos sem correções podem continuar confiando em certificados vulneráveis até que operadores atualizem repositórios de confiança ou substituam chaves.
Observadores do setor dizem que o episódio expõe falhas nos controles de geração e auditoria de chaves. Remediar uma falha a nível de CA é complexo porque muitos sistemas embarcados e armazenamentos de confiança personalizados exigem coordenação ampla e processos lentos para atualização.