Certificados eMudhra comprometidos: autoridade certificadora usou chaves privadas fracas

Oito certificados intermediários da eMudhra, autoridade certificadora reconhecida globalmente, foram comprometidos porque suas chaves privadas de criptografia de curva elíptica P-384 tinham valores absurdamente fracos: 4, 56, 66, 115, 155, 156, 230 e 237. Em vez de números aleatórios de centenas de dígitos, a empresa usou valores que cabem em um byte, tornando trivial recuperar as chaves. O pesquisador Wayne identificou o problema em outubro de 2026, revelando que um script interno de geração de certificados tinha uma falha — criava um segundo conjunto de chaves fraco e similar ao original, que acabou sendo usado por engano. Os certificados afetados foram criados em abril de 2025 e permaneceram desconhecidos por mais de um ano.

O risco real é a possibilidade de ataques intermediários (man-in-the-middle): invasores com as chaves privadas poderiam forjar certificados válidos para domínios que não controlam. Mozilla, Google e Apple responderam rapidamente com bloqueios emergenciais. O episódio reforça um ponto crítico — algoritmos criptográficos fortes são inúteis se os procedimentos de geração, identificação e validação das chaves tiverem falhas de controle operacional. Para usuários Linux e administradores de servidores, a lição é manter navegadores, bibliotecas TLS e pacotes de certificados sempre atualizados.