CoinDesk
Oito chaves privadas pertencentes à autoridade de certificação indiana eMudhra foram comprometidas depois de investigadores descobrirem que era possível recuperá-las a partir de certificados públicos em menos de um segundo. Segundo relatos, as chaves eram números inteiros muito pequenos, em vez de valores aleatórios robustos. Os atacantes poderiam usar chaves comprometidas de autoridades de certificação para falsificar certificados de confiança e fazer-se passar por websites. Não foram comunicados ataques a utilizadores.
Porque é importante
As autoridades de certificação emitem certificados digitais que os navegadores usam para verificar websites. Uma chave de assinatura comprometida pode minar essa confiança, fazendo com que um certificado fraudulento pareça legítimo. A eMudhra emitiu mais de 60 milhões de certificados, segundo o The Register.
Os fabricantes de navegadores agiram rapidamente: Mozilla e Chrome bloquearam os certificados a 17 de outubro, a Apple fez o mesmo a 19 de outubro e a Microsoft a 20 de outubro. A eMudhra também os revogou. A causa apontada foi um erro no script de configuração de chaves da empresa, embora os pormenores exatos continuem por esclarecer.
Impacto no mercado
Os navegadores estão, em grande medida, protegidos, mas as verificações de revogação variam noutro tipo de software. O investigador Scott Helme afirmou que, nos seus testes, o curl e software que usa Python, Node, Go e Java aceitaram um certificado falsificado para a API da Stripe. Já estavam disponíveis correções para Go, o pacote certifi do Python e o webpki-roots do Rust; a correção para Node.js continuava pendente na altura.
Para as empresas de criptomoedas, o risco concentra-se nos sistemas fora dos navegadores. Bots de exchanges, scripts de negociação e sistemas de backend de carteiras que se liguem através de software afetado podem ficar expostos à interceção ou à alteração do tráfego, caso um atacante consiga posicionar-se na mesma rede. Não foram comunicados ataques relacionados com criptomoedas.
Perguntas frequentes
-
Como foram recuperadas as oito chaves privadas da eMudhra?
Os investigadores disseram que as chaves eram números inteiros muito pequenos, em vez de valores aleatórios robustos. Scott Helme afirmou ter recuperado as oito a partir de certificados públicos em menos de um segundo.
-
O que poderia um atacante fazer com as chaves de certificado comprometidas?
As chaves poderiam ser usadas para falsificar certificados com aspeto legítimo e fazer-se passar por websites de confiança, podendo permitir a interceção ou alteração de dados dos utilizadores.
-
Que fabricantes de navegadores bloquearam os certificados?
Mozilla e Chrome bloquearam-nos a 17 de outubro, a Apple a 19 de outubro e a Microsoft a 20 de outubro. A eMudhra também revogou os certificados.
-
Porque é que algum software pode continuar vulnerável após a revogação de um certificado?
Alguns programas não verificam se um certificado foi revogado. Por isso, a revogação pode não impedir essas aplicações de aceitarem um certificado falsificado.
-
O que significa este incidente para os sistemas de negociação de criptomoedas?
Bots de exchanges, scripts de negociação e sistemas de backend de carteiras podem ficar expostos se usarem software afetado e um atacante conseguir intercetar o tráfego de rede. Não foram comunicados ataques a criptomoedas.
CryptoSlate
WuBlockchain
Crypto News
Crypto Rank News
TheBlock