eMudhra encerra negócios globais de certificados SSL/TLS após exposição de chaves fracas
Navegadores revogaram confiança depois que a empresa anulou oito chaves intermediárias que pesquisadores mostraram ser trivialmente reconstruíveis; autoridades indianas abriram investigações e correção é complexa para dispositivos sem atualizações regulares.
A empresa indiana eMudhra anunciou nesta quinta-feira que vai sair do mercado global de certificados SSL/TLS para sites depois de revogar oito chaves intermediárias cuja fragilidade foi demonstrada por pesquisadores.
Fornecedores de navegadores bloquearam ou removeram a confiança nos certificados afetados em poucos dias, o que impede que esses navegadores aceitem sites assinados com as chaves comprometidas.
Os pesquisadores descobriram que as chaves defeituosas foram geradas em abril de 2025 e reduziam-se a valores muito pequenos — por exemplo 4, 56 e 115 — um erro de magnitude que torna as chaves privadas passíveis de reconstrução em segundos.
O Ministério de Eletrônica e Tecnologia da Informação da Índia (MeitY) e o CERT-In abriram investigações e emitiram avisos. Especialistas dizem que a correção é complexa porque sistemas embarcados, repositórios de confiança em empresas e aparelhos mais antigos podem continuar confiando nas cadeias comprometidas.
A eMudhra afirma que não houve invasão da infraestrutura nem perda de dados de clientes, que o negócio afetado representava cerca de 1% da receita e que suas ações caíram fortemente após a divulgação. Analistas e reguladores cobram auditorias independentes e controles mais rigorosos sobre autoridades certificadoras (CAs).