Chaves privadas da eMudhra são quebradas: 8 certificados comprometidos

O certificado da autoridade indiana eMudhra teve 8 chaves privadas fracas quebradas, forçando navegadores a bloquear os certificados e alertando usuários sobre riscos de softwares desatualizados.

O selo de confiança de oito certificados emitidos pela autoridade indiana eMudhra foi comprometido porque as chaves privadas usadas eram tão fracas que foram quebradas em menos de um segundo.

O que aconteceu

Em 17 de outubro, um pesquisador chamado Wayne revelou que oito chaves privadas da eMudhra continham valores numéricos fáceis de adivinhar. Ele demonstrou a vulnerabilidade assinando digitalmente uma mensagem de alerta com cada uma das chaves comprometidas. Como consequência, navegadores como Chrome, Firefox e Edge revogaram rapidamente os certificados afetados, impedindo que os sites fossem reconhecidos como seguros.

Como funciona uma autoridade certificadora

Uma autoridade certificadora (CA) emite certificados digitais que permitem ao navegador confirmar a identidade de um site. Cada certificado é assinado com uma chave privada, que funciona como um selo exclusivo. Se essa chave for descoberta ou copiada, terceiros podem criar certificados falsos que parecem legítimos, facilitando ataques do tipo “man‑in‑the‑middle”.

Impactos para usuários de cripto

Bots de negociação e APIs de exchanges que dependem de conexões HTTPS podem ser alvo de interceptação se usarem certificados comprometidos.
Carteiras e softwares de trading que não verificam a revogação de certificados podem ficar vulneráveis a alterações de dados.
Até o momento, nenhum ataque efetivo foi registrado, mas o risco permanece para quem utiliza versões antigas de navegadores ou bibliotecas de rede.

Medidas corretivas

Os principais navegadores já bloquearam os certificados e divulgaram atualizações de emergência. Usuários são orientados a atualizar seus navegadores, sistemas operacionais e bibliotecas de programação (Python, Node, Go) para garantir que a verificação de revogação esteja ativa. Empresas que dependem de APIs de exchanges devem revisar seus certificados e, se necessário, solicitar novos à CA.

Explica Noob
Autoridade certificadora: entidade que emite certificados digitais para validar a identidade de sites na internet, garantindo que a conexão seja segura.

Fonte: coindesk.com