eMudhra abandona negócio de certificados TLS após falha grave de segurança
Chaves privadas fracas em oito certificados intermediários permitiam forjar credenciais para qualquer site da internet. A autoridade certificadora indiana decidiu sair do mercado global de TLS.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
A eMudhra, autoridade certificadora indiana que emite certificados digitais usados para autenticar sites na internet, anunciou que vai sair por completo do mercado global de certificados SSL/TLS depois de uma falha grave em sua infraestrutura de segurança. O problema remonta a uma cerimônia de geração de chaves realizada em 30 de abril de 2025: uma etapa de empacotamento e desempacotamento das chaves criptográficas gerou, por engano, um segundo conjunto de chaves extremamente fracas ao lado das chaves originais, mais robustas. Como os rótulos eram parecidos, a equipe da empresa acabou usando as chaves fracas — e não as fortes — em pedidos de assinatura de certificados reais.
O problema só veio à tona cerca de um ano e meio depois, em 17 de outubro de 2026, quando pesquisadores de segurança demonstraram que as chaves privadas de oito certificados intermediários da eMudhra eram tão simples que podiam ser reconstruídas em menos de um segundo — os valores incluíam números triviais como 4, 56, 66, 115, 155, 156, 230 e 237. Na prática, isso significava que qualquer pessoa com esse conhecimento poderia forjar um certificado válido para qualquer domínio da web e se passar por um site legítimo para interceptar ou alterar tráfego de usuários.
Quem é afetado
Assim que o problema foi revelado, Google e Mozilla bloquearam as chaves afetadas em seus navegadores (Chrome e Firefox) já em 17 de outubro, e as duas empresas avançaram para remover a confiança na raiz emSign ECC Root CA – G3, usada pela eMudhra. O chairman da empresa, V. Srinivasan, afirmou que os certificados intermediários comprometidos foram revogados em até 14 horas após a descoberta e que nenhum deles chegou a emitir certificados finais usados diretamente por sites ou softwares — ou seja, o impacto prático para usuários finais teria sido contido antes de causar dano direto.
Mesmo assim, o episódio gerou forte desconfiança em torno dos controles de emissão de certificados da eMudhra, levando a empresa a anunciar a saída voluntária do negócio global de TLS em 22 de outubro de 2026. Segundo Srinivasan, o segmento responde por apenas cerca de 1% da receita global da companhia, que também citou custos crescentes de conformidade, exigências de soberania de dados e a concorrência de certificados gratuitos como fatores que já tornavam o negócio pouco rentável.
O que fazer agora
- Administradores de sites que usam certificados emitidos pela eMudhra devem verificar se dependem da cadeia emSign e migrar para outra autoridade certificadora;
- Empresas de TI devem conferir se seus navegadores e sistemas já aplicaram o bloqueio das chaves fracas identificadas;
- Não há ação necessária para o usuário comum, já que o problema afeta a infraestrutura de confiança da web, não contas pessoais diretamente;
- Vale acompanhar comunicados de Chrome, Firefox e demais navegadores sobre a descontinuação definitiva da confiança nas raízes da eMudhra.