Principais fornecedores de navegadores e provedores de segurança na nuvem implementaram bloqueios de emergência para oito certificados TLS intermédios emitidos pela autoridade de certificação indiana eMudhra Limited, depois de investigadores concluírem que o processo de geração de chaves dos certificados era defeituoso e «trivial de explorar». A Mozilla afirma que conseguiu recuperar as chaves privadas afetadas depois de ser informada do problema, o que evidencia como os atacantes poderiam fazer-se passar por sites legítimos.
O incidente recorda que as falhas da infraestrutura de chave pública (PKI) não se limitam a um único navegador. Embora muitas organizações tenham adicionado rapidamente bloqueios aos certificados, a Mozilla alerta que o risco pode persistir em sistemas e aplicações que não recebem essas atualizações automaticamente.
Principais conclusões
A Mozilla afirma que os certificados intermediários eMudhra defeituosos poderiam permitir a falsificação de sites legítimos em ataques do tipo man-in-the-middle.
As empresas de tecnologia reagiram bloqueando os oito certificados nos principais navegadores e plataformas, incluindo Firefox, Chrome, dispositivos Apple e ambientes Microsoft.
A Mozilla implementou proteções por meio do OneCRL e também lançou atualizações para o navegador, garantindo que os usuários recebessem as mitigações necessárias.
A Mozilla ressalta que não há evidências claras de exploração ativa contra navegadores, mas clientes que não sejam navegadores ainda podem estar expostos.
Por que a falha nos certificados eMudhra é importante
Segundo Dennis Jackson, engenheiro de criptografia da Mozilla, os certificados problemáticos resultam de um processo de geração de chaves “falho” e “trivial de explorar”. Em um relatório de incidente, Jackson afirma que a Mozilla recuperou as chaves privadas de forma independente pouco depois de receber o primeiro aviso no sábado, o que ajudou a confirmar a vulnerabilidade subjacente.
Se um invasor conseguir interceptar a conexão de um usuário, poderá apresentar certificados fraudulentos para se passar por sites legítimos. A Mozilla explica que essa falsificação pode permitir que invasores leiam ou alterem as informações trocadas durante a sessão, dependendo de como o ataque é realizado e das proteções aplicadas pelo ambiente visado.
Esse possível impacto é o principal motivo da rápida ação de emergência nos repositórios de confiança: a confiança em certificados é a base que navegadores e muitos aplicativos clientes usam para decidir se um endpoint é autêntico.
Como a proteção foi implementada em navegadores e plataformas
A equipe de segurança do Firefox, da Mozilla, afirmou ter recebido o relatório no sábado e agido rapidamente para bloquear no Firefox os certificados intermediários afetados usando o OneCRL, concluindo o trabalho no mesmo dia. Em seguida, a Mozilla lançou atualizações do Firefox para computadores e Android.
A Mozilla também informou que as atualizações incluíam configurações personalizadas destinadas a evitar que certos usuários deixassem de receber a mitigação do OneCRL. Esse detalhe é importante porque o bloqueio de certificados não depende apenas da existência de um bloqueio: depende também de as configurações dos clientes obterem as alterações de bloqueio em tempo hábil.
A Cloudflare, que também opera infraestrutura de segurança para o tráfego da web, informou que tomou conhecimento do problema na segunda-feira. Na terça-feira, publicou atualizações para o Cloudflare One e os clientes WARP, bem como para o Cloudflare Tunnel, além de implementar mitigações nos serviços relacionados.
Jackson também afirmou que os certificados estão bloqueados no Chrome desde sábado, em dispositivos Apple desde segunda-feira e em plataformas Microsoft desde terça-feira. Em outras palavras, vários ecossistemas de confiança passaram da identificação à aplicação de bloqueios nos repositórios de confiança em poucos dias.
O que se sabe sobre a exploração — e o que continua incerto
Jackson afirmou que não há evidências de que Firefox, Chrome, Edge ou Safari tenham sido atacados dessa maneira específica. Ele apontou a ausência de registros nos logs de transparência de certificados referentes aos certificados intermediários desde abril de 2025.
No entanto, o engenheiro da Mozilla também alertou que muitos clientes fora do ecossistema dos navegadores não aplicam a Transparência de Certificados. Isso significa que a ausência de registros não elimina totalmente o risco: invasores ainda podem conseguir atingir sistemas que dependem de outros comportamentos de validação.
Na mesma discussão sobre o incidente, Jackson afirmou que muitos clientes downstream não aplicam as mesmas verificações de transparência e que “não sabemos se os invasores exploraram a geração de chaves defeituosa para atacar esses clientes”. Para as organizações, isso destaca uma assimetria comum em PKI: os navegadores podem oferecer salvaguardas mais robustas, enquanto clientes personalizados, sistemas embarcados e componentes corporativos legados talvez não ofereçam.
Lições de incidentes anteriores envolvendo autoridades certificadoras
A resposta ao caso eMudhra remete a falhas históricas em repositórios de confiança — sobretudo à violação da DigiNotar em 2011. Naquele caso, invasores comprometeram uma autoridade certificadora e emitiram centenas de certificados SSL fraudulentos, possibilitando a falsificação de identidades e a vigilância dos usuários.
Embora o incidente atual envolva outro conjunto de certificados e tenha uma origem diferente, a lição operacional é semelhante: quando as chaves de uma autoridade certificadora são manipuladas de forma inadequada ou geradas incorretamente, os invasores podem conseguir produzir certificados convincentes que escapam a defesas simplistas.
A ênfase da Mozilla nos locais em que os bloqueios talvez não se propaguem automaticamente é especialmente relevante em ambientes corporativos, onde proxies internos, clientes especializados e pilhas de aplicações privadas podem se comportar de maneira diferente dos navegadores mais usados.
Agora, os leitores devem acompanhar a confirmação de que os certificados bloqueados foram totalmente removidos de todos os principais repositórios de confiança dos clientes, bem como as orientações sobre a exposição de clientes que não sejam navegadores e talvez não usem a Transparência de Certificados. O risco residual diz menos respeito aos navegadores — que já foram amplamente protegidos — e mais a quaisquer sistemas que dependam de decisões de confiança que não são atualizadas automaticamente quando os bloqueios de certificados são publicados.
Este artigo foi publicado originalmente como Tech Giants Move to Block 8 eMudhra Certificates Linked to Fake Sites no Crypto Breaking News — sua fonte confiável de notícias sobre criptomoedas, Bitcoin e atualizações sobre blockchain.