Ação imediata da Cloudflare
Em 23 de outubro de 2026, a Cloudflare divulgou que oito certificados intermediários da autoridade de certificação eMudhra utilizavam chaves criptográficas consideradas fracas pelos padrões atuais. A descoberta levou a empresa a iniciar um processo de mitigação que inclui a revogação dos certificados vulneráveis e a distribuição de atualizações para clientes que utilizam a infraestrutura da Cloudflare.
Contexto da vulnerabilidade
Historicamente, a eMudhra tem fornecido certificados digitais para uma variedade de provedores de serviços de internet e plataformas de nuvem. Recentemente, auditorias internas de segurança realizadas pela Cloudflare revelaram que as chaves RSA de 1024 bits presentes em oito certificados intermediários não atendiam às recomendações de força mínima estabelecidas pela indústria. Essa prática, embora ainda encontrada em alguns ambientes legados, expõe a cadeia de confiança a ataques de fatoração, nos quais um atacante poderia reconstruir a chave privada a partir da chave pública.
Impacto para clientes e serviços
Empresas que dependem da cadeia de confiança da eMudhra para validar conexões TLS podem enfrentar risco de interceptação de tráfego ou de criação de certificados falsos que seriam aceitos como legítimos. Até o momento, a Cloudflare não registrou incidentes de exploração ativa, mas alerta que a vulnerabilidade poderia ser explorada por atores com recursos computacionais avançados. Organizações que utilizam serviços de CDN, DNS ou firewall da Cloudflare e que confiam nos certificados da eMudhra precisam atualizar seus clientes para evitar interrupções ou comprometimento de dados.
Detalhes técnicos da falha
Do ponto de vista técnico, a fraqueza reside no tamanho da chave RSA, que permite a aplicação de algoritmos de fatoração como o método de quadrado de Fermat ou o algoritmo de fatoração de número grande com recursos de computação distribuída. Quando a chave privada é recuperada, o atacante pode assinar certificados falsos que se encaixam na hierarquia de confiança existente, enganando navegadores e servidores que verificam apenas a validade da assinatura. Na prática, a vulnerabilidade afeta todas as versões de TLS que suportam RSA, independentemente do nível de criptografia da sessão, pois a confiança na cadeia de certificação é comprometida na fase de handshake.
Medidas adotadas e recomendações
Em resposta a isso, a Cloudflare iniciou a revogação dos oito certificados intermediários e está distribuindo patches para seus clientes, incluindo atualizações de bibliotecas de validação de certificados e ajustes nas políticas de aceitação de cadeias de confiança. Administradores de sistemas são orientados a aplicar as atualizações disponibilizadas nos repositórios oficiais da Cloudflare, revisar as listas de autoridades de certificação confiáveis e substituir quaisquer certificados emitidos pela eMudhra que ainda utilizem chaves de 1024 bits. Até que as novas cadeias estejam em vigor, recomenda-se monitorar logs de TLS para identificar tentativas de uso de certificados revogados.
Perspectivas futuras
O cenário se complica quando organizações mantêm dependências legadas que ainda confiam em autoridades de certificação com práticas de emissão desatualizadas. A Cloudflare indica que continuará monitorando a situação e colaborará com a eMudhra para garantir que novos certificados atendam aos requisitos de segurança recomendados pela indústria. Até o próximo relatório, a expectativa é que a maioria dos clientes tenha concluído a migração para chaves de pelo menos 2048 bits, reduzindo significativamente a superfície de ataque.
Fonte: Cloudflare Security