Oito chaves secretas da eMudhra, uma empresa indiana que atesta a autenticidade de sites, foram comprometidas. Os fabricantes de navegadores e software estão a apressar-se a lançar correções
Quando um utilizador visita um site, o navegador verifica um certificado digital para confirmar que o site é legítimo. As empresas chamadas autoridades certificadoras emitem esses certificados, e a eMudhra é uma delas. A empresa emitiu mais de 60 milhões de certificados, segundo o The Register.
Cada autoridade certificadora assina os seus certificados com uma chave privada. Pense nela como um carimbo-mestre. Se alguém roubar ou decifrar esse carimbo, pode falsificar certificados com aspeto autêntico para qualquer site. Como
Os usuários de criptomoedas também poderiam ser afetados, embora principalmente fora do navegador. Bots de exchanges, scripts de negociação e sistemas de carteira costumam ser executados em Python, Node ou Go, e um certificado falsificado para a API de uma exchange poderia, em teoria, permitir que um invasor na mesma rede lesse ou alterasse o tráfego de um bot. Até agora, não houve relatos de ataques a criptomoedas.
Fabricantes de navegadores e desenvolvedores de software lançaram correções emergenciais. A Mozilla recebeu o relato somente em 17 de outubro, depois das 20h UTC, e bloqueou os certificados cerca de três horas depois. O Chrome bloqueou os certificados no mesmo dia. A Apple fez o mesmo em 19 de outubro, e a Microsoft, em 20 de outubro. A eMudhra também os revogou.
Os detalhes exatos de como esse desastre aconteceu foram expostos no Boletim Oficial de Segurança da Mozilla. Segundo a análise de Helme de um chamado de erro da Mozilla, a eMudhra atribuiu o problema a um bug no script de configuração de chaves.
A verdadeira preocupação está fora do navegador. Muitos programas nunca verificam se um certificado foi revogado. "Portanto, o fato de a eMudhra e a Sectigo terem revogado esses certificados intermediários não ajuda em nada", escreveu Helme.
Ele diz que seus testes mostraram que ferramentas como curl, Python, Node, Go e Java aceitaram um certificado falsificado para a API da Stripe. Já existem correções para Go, o pacote certifi do Python e o webpki-roots do Rust. Na última verificação, a correção para Node.js ainda estava pendente.