eMudhra encerra negócio global de certificados web após falha em oito chaves CA intermediárias
Chaves fracas, com valores mínimos como 4 e 56, foram reconstruídas publicamente; navegadores revogaram confiança e autoridades indianas abriram investigações
Pesquisadores independentes reconstruíram publicamente, em meados de outubro, oito chaves privadas fracas de CAs intermediárias da eMudhra. Entre 17 e 20 de outubro, Google, Mozilla, Apple e Microsoft passaram a não confiar nos certificados afetados; a empresa revogou as CAs e anunciou sua saída do negócio global de SSL/TLS.
As chaves foram geradas numa cerimônia em 30 de abril de 2025, mas um erro de software reduziu os valores privados a números muito pequenos — 4, 56, 66, 115, 155, 156, 230 e 237 — tornando trivial a reconstrução a partir dos certificados públicos.
A eMudhra afirma ter revogado as oito CAs intermediárias em poucas horas após a divulgação, diz não haver confirmação de vazamento de dados de clientes e sustenta que as CAs comprometidas não foram usadas para emitir certificados finais comercialmente.
O Ministério da Eletrônica e Tecnologia da Informação da Índia (MeitY) e o CERT‑In abriram investigações e emitiram alertas. As ações da eMudhra caíram cerca de 40% enquanto investidores e clientes pedem auditorias independentes e esclarecimentos maiores da empresa.
Especialistas em segurança alertam que repositórios de confiança fora dos navegadores — presentes em celulares antigos, dispositivos IoT, terminais de pagamento e sistemas corporativos sob medida — podem continuar vulneráveis até que operadores substituam certificados ou apliquem atualizações, criando um longo prazo de remediação e supervisão para o ecossistema PKI da web.