Resumo
Oito certificados tiveram suas chaves privadas comprometidas.
Falha poderia permitir a criação de certificados falsos para se passar por sites e interceptar conexões.
Principais navegadores já reagiram, mas sistemas Linux, aplicativos e dispositivos de IoT podem levar mais tempo para serem protegidos.
A descoberta de oito certificados digitais comprometidos da autoridade certificadora eMudhra colocou empresas e pesquisadores de segurança em alerta. As chaves privadas eram tão fracas que poderiam ser recuperadas e usadas para emitir certificados falsos capazes de se passar por sites e serviços legítimos.
Seis dos certificados intermediários afetados eram usados para TLS, tecnologia por trás das conexões HTTPS, enquanto outros dois eram destinados à assinatura de código. Mozilla, Google, Apple e Microsoft receberam o alerta no sábado (17), e fabricantes começaram a bloquear os certificados comprometidos pouco depois.
Por que os certificados comprometidos são perigosos?
O HTTPS usa certificados digitais para comprovar que o usuário está realmente conectado ao site que pretende acessar. Eles funcionam como uma espécie de documento de identidade reconhecido pelo navegador e ajudam a impedir que outro servidor se passe pelo original.
Com acesso às chaves privadas, alguém poderia criar certificados falsos para sites e serviços que seriam aceitos como legítimos por sistemas vulneráveis.
