eMudhra deixa o negócio global de certificados SSL/TLS após a falha de chaves fracas

A eMudhra, autoridade certificadora indiana por trás das correções de emergência dos navegadores nesta semana, vai abandonar o negócio que as causou. O conselho decidiu "se retirar voluntariamente do negócio global de certificados SSL/TLS", informou a empresa em 22 de outubro de 2026. Os outros serviços de confiança digital, como as assinaturas digitais, continuam.

A decisão vem cinco dias depois do aviso de que as chaves de oito certificados intermediários da eMudhra estavam expostas. Os navegadores bloquearam esses certificados em poucas horas, e Go, Firefox, NSS e o certifi do Python lançaram correções. Um certificado intermediário fica entre a raiz de uma autoridade certificadora (CA) e os certificados de sites que ela assina. Por isso, com uma chave intermediária vazada, um atacante pode criar certificados para qualquer domínio.

Por que a eMudhra está saindo

No comunicado da eMudhra, V. Srinivasan, que preside a eMudhra, diz que o negócio global de SSL/TLS responde por cerca de 1% da receita global da empresa. O comunicado aponta exigências crescentes de soberania de dados e de conformidade, que deixam o negócio mais complexo e caro a cada ano. Alguns grandes fornecedores também emitem certificados de graça. Juntos, segundo o comunicado, esses fatores reduziram o retorno dessa linha de negócio.

A eMudhra deu a mesma explicação ao CyberScoop. "Para muitas autoridades certificadoras, SSL/TLS é o negócio inteiro", disse a empresa. "Para a eMudhra, é uma parte de um portfólio de soluções digitais muito mais amplo." Segundo o CyberScoop, Srinivasan também considerou as críticas nas redes sociais desproporcionais ao tamanho da unidade.

A versão da eMudhra sobre a falha das chaves

A eMudhra diz que revogou as CAs afetadas em até 14 horas após a descoberta. Segundo a empresa, nenhum certificado de entidade final, os que os clientes de fato usam, foi emitido a partir delas. A empresa afirma que sua infraestrutura não foi comprometida e que nenhum dado vazou.

O Cyber Security News resume a primeira explicação da empresa. Em uma cerimônia de geração de chaves em 30 de abril de 2025, um script com defeito, usado em uma etapa de empacotar e desempacotar as chaves, criou um segundo conjunto de chaves fracas. Como os rótulos das chaves eram parecidos, a equipe usou as chaves fracas no lugar das fortes. A eMudhra prometeu um relatório completo sobre a causa, mas não disse quando.

Ninguém sabe ainda se alguém abusou das chaves. A agência indiana de cibersegurança, CERT-In, disse em 21 de outubro que os relatos públicos não confirmaram nenhum uso malicioso. Segundo o CyberScoop, autoridades indianas abriram uma investigação, e as ações da eMudhra caíram cerca de 40% nos dois dias após a divulgação.

O que acontece com os certificados existentes

Segundo o Cyber Security News, as raízes G1 RSA da eMudhra vão continuar atendendo os clientes durante a transição. Os clientes vão receber certificados substitutos por meio de parceiros, sem custo. Os serviços de revogação e de status continuam até que cada certificado expire ou seja substituído. O site calcula em cerca de 30.000 os certificados que precisam migrar.

Ainda faltam detalhes. A eMudhra não nomeou os parceiros nem definiu uma data final para a transição.

Os navegadores também não estão esperando. Google e Mozilla estão se preparando para retirar a confiança na raiz emSign ECC Root CA - G3, que assinou os intermediários fracos. O CERT-In espera que a mudança no repositório de raízes do Chrome chegue aos dispositivos em 27 de outubro. O CyberScoop acrescenta que o Google também está revisando a raiz restante da eMudhra.

O que isso significa para desenvolvedores

Se você tem um certificado da eMudhra, planeje a troca agora, e não na data de expiração.

• Encontre cada certificado da eMudhra e da emSign de que você depende. Confira o emissor nos seus sites públicos, balanceadores de carga, serviços internos e endpoints de fornecedores. Os logs de Certificate Transparency listam todo certificado público emitido para os seus domínios.
• Substitua cedo. As raízes G1 RSA funcionam hoje, mas o Google está revisando a raiz restante da eMudhra. Se um navegador retirar uma raiz, todos os certificados abaixo dela falham de uma vez para os usuários desse navegador.
• Peça os detalhes da substituição por escrito. Pergunte qual CA parceira vai emitir o seu substituto gratuito e teste a nova cadeia em todos os clientes que você atende antes de trocar.
• Pergunte sobre assinatura de código à parte. Dois dos oito intermediários fracos assinavam software. O anúncio da eMudhra trata de SSL/TLS e não diz o que acontece com seus certificados de assinatura de código.
• Mantenha seus repositórios de confiança atualizados. As correções dos navegadores desta semana não chegam a binários Go, ambientes Python ou imagens de contêiner até que você os atualize e os reconstrua.