Oito chaves intermediárias da eMudhra foram recuperadas após geração fraca
Navegadores bloquearam rápido, mas muitos dispositivos e aplicativos que não verificam revogação continuam vulneráveis.
Um pesquisador de segurança informou em 17 de outubro que era possível recuperar chaves privadas da eMudhra; a análise mostrou que as oito chaves P‑384 eram inteiros muito pequenos, menores que 256, o que permite recuperá‑las testando no máximo 256 valores.
Chrome e Firefox aplicaram bloqueios poucas horas após o alerta, e Apple e Microsoft implementaram proteções entre 19 e 20 de outubro. A eMudhra revogou as oito certificados intermediários e abriu uma investigação formal.
Projetos de software e bundles de raiz publicaram correções que bloqueiam as chaves comprometidas ou removem a autoridade raiz emSign ECC Root CA - G3 dos repositórios de confiança. As versões Go 1.27.3 e 1.26.10 rejeitam cadeias que contenham essas chaves, mas exigem recompilar binários.
Verificações de Certificate Transparency não mostram emissões TLS logadas que encadeiem para os intermediários afetados antes dos bloqueios. Ainda assim, muitos aplicativos e dispositivos embarcados que não checam revogação ou demoram a atualizar permanecem em risco real.
O Google planeja remover a raiz emSign G3 do repositório do Chrome, reduzindo a exposição, mas isso pode afetar sites legítimos que não reencadearam seus certificados. A eMudhra e os programas de raiz seguem investigando a causa raiz da cerimônia de geração de chaves realizada em abril de 2025.