Oito chaves intermediárias da eMudhra foram vulneráveis e navegadores as bloquearam
Erro na geração de chaves criou chaves privadas triviais, forçando revogações do fornecedor e deixando dispositivos e apps sem atualização em risco
Um pesquisador de segurança relatou a falha no sábado e mostrou controle ao assinar uma mensagem de teste com cada uma das oito chaves intermediárias comprometidas.
As chaves privadas foram geradas com aleatoriedade insuficiente — valores de um byte, como 4, 56 e 115 — o que permitiu recuperar cada chave em menos de um segundo a partir do certificado público.
O Chrome e o Firefox aplicaram bloqueios em horas após o relato; Apple e Microsoft também seguiram o bloqueio. A Mozilla e outros removeram a emSign ECC Root CA - G3 de alguns cofres de confiança, e o Google planeja retirar a raiz no Chrome em um rollout previsto para 27 de outubro.
Vários projetos a jusante lançaram correções que bloqueiam as chaves públicas comprometidas ou removem a raiz pai, mas dispositivos, sistemas embarcados e apps que não recebem atualizações ou que não aplicam revogação continuam expostos.
Reguladores indianos e múltiplos programas de raiz investigam o erro na cerimônia de chaves da eMudhra em 30 de abril de 2025. A empresa diz que o incidente afetou apenas esses intermediários, que os revogou, e que suas chaves raiz e seus serviços centrais domésticos não foram comprometidos.