A descoberta de oito certificados digitais comprometidos da autoridade certificadora eMudhra colocou empresas e pesquisadores de segurança em alerta. As chaves privadas desses certificados eram tão fracas que poderiam ser recuperadas e usadas para emitir certificados falsos, capazes de se passar por sites e serviços legítimos.

Seis dos certificados intermediários afetados eram usados para TLS, tecnologia por trás das conexões HTTPS, enquanto outros dois eram destinados à assinatura de código. Mozilla, Google, Apple e Microsoft receberam o alerta no sábado (17), e os fabricantes começaram a bloquear os certificados comprometidos pouco depois.

O HTTPS usa certificados digitais para comprovar que o usuário está realmente conectado ao site que pretende acessar. Eles funcionam como uma espécie de documento de identidade reconhecido pelo navegador e ajudam a impedir que outro servidor se passe pelo original. Com acesso às chaves privadas, alguém poderia criar certificados falsos para sites e serviços que seriam aceitos como legítimos por sistemas vulneráveis.

Um pesquisador identificado como Wayne demonstrou ter acesso às oito chaves ao usá-las para assinar digitalmente uma mensagem enviada às empresas responsáveis pelos principais navegadores e sistemas. Segundo a Mozilla, seus engenheiros conseguiram recuperar as mesmas chaves pouco depois, confirmando a falha.

Isso não significa que um invasor poderia interceptar qualquer conexão pela internet. Segundo o Ars Technica, ainda seria necessário interceptar o tráfego entre a vítima e o serviço para explorar os certificados em um ataque.

A Mozilla afirma que concluiu o bloqueio dos certificados no Firefox menos de três horas após receber o alerta, e lançou o Firefox 158.0.1 para ampliar a proteção aos usuários. O Chrome e outros navegadores também passaram a rejeitar os certificados comprometidos. No momento da publicação, havia uma exceção: o Microsoft Edge no Windows 10 ainda conseguia estabelecer conexão com alguns servidores vulneráveis, e a Microsoft não detalhou quando aplicaria o bloqueio nesse sistema.

Até o momento, não há relatos públicos de certificados fraudulentos utilizados em ataques. Esse tipo de medida já foi adotado em outras situações: o Chrome deixou de confiar em certificados da Entrust após o Google apontar problemas na atuação da autoridade certificadora.

O principal problema agora está fora dos navegadores. Distribuições Linux, aplicativos e dispositivos conectados podem continuar confiando nas credenciais comprometidas até receberem atualizações. O engenheiro de criptografia Filippo Valsorda disse ao Ars Technica que o trabalho de limpeza pode ser maior do que o provocado pelo Heartbleed, grave vulnerabilidade descoberta em 2014, pela variedade de sistemas que precisam ser atualizados.

Para usuários comuns, a principal recomendação é manter navegador, sistema operacional e aplicativos atualizados. Serviços como Signal e WhatsApp não dependem do TLS para proteger o conteúdo das mensagens e, por isso, não são afetados da mesma forma.

Com informacoes de Tecnoblog.