Auditoria de chaves privadas de autoridades certificadoras após incidente na eMudhra

O que aconteceu e o que fazer

A publicação, de Solar Designer em 21 de outubro de 2026, reage ao incidente com intermediárias da eMudhra e ao trabalho de Dennis na resposta. O autor considera bem fundamentadas as decisões tomadas e sugere que todas as demais chaves correspondentes a certificados de autoridades certificadoras raiz e intermediárias sejam auditadas para verificar se têm chaves privadas potencialmente fracas. Ele observa que essa verificação já deveria ter sido feita, como ocorreu com chaves RSA do PGP anos atrás.

Para uma empresa que depende de hierarquias de certificados, isso pede um inventário de todas as cadeias e certificados de CA usados internamente e por parceiros, com verificação de algoritmo, tamanho de chave e origem. Um pipeline de coleta pode alimentar um painel com o status de cada certificado, alertas de validade e revogação e um plano de rotação priorizado. Quando há chaves privadas em HSMs ou servidores, o trabalho inclui revisar onde estão armazenadas, quem tem acesso e como são protegidas, em infraestrutura própria.

Como a consultoria pode ajudar

Diagnóstico da exposição a autoridades certificadoras comprometidas: mapeamento de certificados raiz e intermediários em uso, verificação de algoritmos e tamanhos de chave e plano priorizado de rotação. Implementação de coleta e painel de monitoramento on-premises, com alertas de validade e revogação, seguida de operação contínua.

Próximo passo

Envie uma breve descrição do seu ambiente de certificados e da sua dúvida sobre o incidente, e receba uma proposta escopada para diagnóstico e implementação.