Pesquisadores de segurança e grandes companhias de tecnologia entraram em estado de alerta após a revelação de que oito certificados digitais da autoridade certificadora eMudhra tiveram suas chaves privadas comprometidas. A fragilidade permitia a recuperação dessas chaves para a emissão de credenciais falsas, viabilizando a personificação de portais e serviços legítimos na web.
Riscos e funcionamento da vulnerabilidade Do total de credenciais afetadas, seis eram voltadas para a tecnologia TLS — pilar das conexões HTTPS —, enquanto as duas restantes serviam para assinatura de código. O alerta foi enviado no sábado (17) a gigantes como Mozilla, Google, Apple e Microsoft, resultando no bloqueio imediato pelas fabricantes.
O HTTPS atua como um documento de identidade digital reconhecido pelos navegadores, garantindo a autenticidade dos sites acessados. Com posse das chaves privadas obtidas, agentes mal-intencionados poderiam gerar credenciais fraudulentas aceitas por sistemas desatualizados.
O pesquisador identificado como Wayne comprovou a brecha ao assinar digitalmente uma mensagem enviada às empresas de tecnologia. Engenheiros da Mozilla auditaram e confirmaram a falha logo em seguida. A exploração, contudo, exigiria interceptar o tráfego entre a vítima e o serviço, conforme apurado pelo Ars Technica.
Reação dos navegadores A resposta das desenvolvedoras de softwares ocorreu de forma rápida. A Mozilla finalizou o bloqueio no Firefox em menos de três horas após o aviso e disponibilizou a versão 158.0.1 para reforçar a segurança. O Google Chrome e outros softwares concorrentes também passaram a rejeitar os itens problemáticos.
No entanto, o Microsoft Edge rodando no Windows 10 exibia uma exceção inicial, mantendo a capacidade de conexão com servidores vulneráveis. Questionada, a Microsoft não forneceu um prazo exato para a liberação da correção nesse sistema específico.
Desafios na remoção global Apesar do incidente, não existem registros públicos de ataques com o uso de certificados fraudulentos. Medidas drásticas do tipo já ocorreram anteriormente, a exemplo do Google interrompendo a confiança em certificados da Entrust por falhas de conduta da autoridade.
O maior desafio atual reside fora dos navegadores tradicionais, atingindo distribuições Linux, softwares variados e aparelhos de internet das coisas (IoT), que seguem confiando nos dados comprometidos até que recebam patches.
O engenheiro de criptografia Filippo Valsorda disse ao Ars Technica que o trabalho de limpeza pode ser maior do que o provocado pelo Heartbleed, grave vulnerabilidade descoberta em 2014, pela variedade de sistemas que precisam ser atualizados.
Para o público geral, a recomendação primordial é manter atualizados o navegador, o sistema operacional e os programas instalados. Plataformas como Signal e WhatsApp utilizam outras camadas de proteção para o conteúdo das conversas e escapam desse tipo de impacto direto.
2000W Bicicleta Elétrica para Off-road, com Bateria Removível e Suspensão Dupla，HONEYWHALE MT4
About the Author
