Certificados intermediários da eMudhra com chaves privadas fracas permitem falsificação de certificados
A Cisco Talos, em aviso sobre a eMudhra, relatou oito certificados intermediários com chaves privadas de baixa entropia, o que permite a falsificação de certificados TLS e de assinatura de código. Parte foi bloqueada por Chrome, Mozilla, Apple e Microsoft.
Fonte: Certificados intermediários da eMudhra comprometidos (blog.talosintelligence.com). Texto preparado com IA a partir dessa fonte.
O que aconteceu e o que fazer
Segundo a Cisco Talos, oito certificados intermediários da autoridade eMudhra foram emitidos com chaves privadas que deveriam ter 384 bits de aleatoriedade, mas que correspondiam a números de um ou dois dígitos. A origem foi uma cerimônia de geração de chaves realizada em 30 de abril de 2025 sob a emSign Root TLS CA - G3 e o certificado Comodo AAA Certificate Services com assinatura cruzada, na qual uma falha criou um segundo conjunto de chaves P-384 fracas, usado por engano em oito certificados. Seis certificados TLS foram bloqueados pelo Chrome, Mozilla e Apple, e dois certificados de assinatura de código usados pela Microsoft também foram bloqueados. A eMudhra revogou os certificados e parou de emitir sob a raiz G3. A Talos espera patches adicionais de diversas tecnologias.
Para uma empresa, o caso exige ação em três frentes. Primeiro, inventário: levantar quais certificados intermediários e raízes de confiança sua infraestrutura aceita, incluindo clientes, agentes, pipelines de build e repositórios de pacotes, comparando as impressões SHA-256 publicadas no aviso. Segundo, monitoramento: coletar e alertar sobre revogações, listas de confiança e atualizações de software, com dashboards que mostrem a exposição por sistema. Terceiro, resposta: automatizar a rotação de certificados internos e a validação de assinaturas de código, com trilhas de auditoria. Isso se faz com pipelines de coleta e alerta na própria infraestrutura do cliente.
Como a consultoria pode ajudar
Diagnóstico da exposição a certificados da eMudhra e de outras CAs intermediárias, com inventário de cadeias de confiança em servidores, dispositivos e pipelines de assinatura. Em seguida, implementação de monitoramento de revogações e alertas, e automação de rotação e validação, operados na infraestrutura do cliente.
Próximo passo
Envie uma breve descrição da sua infraestrutura e de como sua empresa usa certificados TLS e de assinatura de código. Com isso, a Wendelmaques prepara uma proposta escopada para o diagnóstico e a implementação.
Vamos avaliar seu projeto
Respondo com escopo e proposta.