Mundo ManualFirefox, Edge e Windows bloqueiam certificados comprometidos da eMudhra
O incidente atingiu chaves de uma autoridade certificadora. Mozilla e Microsoft detalharam bloqueios e mudanças nas listas de confiança.
Por Mundo Manual ·
Mozilla e Microsoft divulgaram medidas de proteção após o comprometimento de chaves de certificados intermediários da eMudhra. O problema importa para quem navega porque certificados ajudam o navegador a verificar a identidade do site com o qual está se comunicando.
Não se trata de uma notícia de invasão dos sistemas da Microsoft. O incidente descrito pelas empresas está na cadeia de certificação da eMudhra, usada para estabelecer confiança em certificados digitais.
Por que a cadeia de confiança importa
Ao abrir um endereço HTTPS, o navegador não aceita uma identidade apenas porque o site se declara legítimo. Ele verifica uma cadeia de certificados que termina em uma autoridade considerada confiável.
Uma chave intermediária comprometida pode permitir a emissão de certificados fraudulentos. Esse risco não significa, sozinho, que todas as conexões foram interceptadas: há condições adicionais para um ataque. Ainda assim, retirar a confiança impede que aquela cadeia continue sendo aceita normalmente.
O navegador verifica uma cadeia de confiança; um intermediário comprometido pode interromper essa validação. Ilustração gerada por IA / Mundo Manual.
As proteções são diferentes em cada sistema
A Mozilla recebeu o relato em 17 de outubro e distribuiu bloqueios pelo OneCRL. Em 20 de outubro, publicou versões do Firefox para alcançar também usuários que não receberam essa atualização automática. Uma correção adicional para Android foi comunicada no dia 21.
A Microsoft informou bloqueios para Windows, Edge e WebView2. Em 26 de outubro, também anunciou uma atualização extraordinária do Windows que remove sete certificados das listas de confiança. Para o Edge, a mesma retirada estava prevista para o dia 27 no comunicado consultado.
Um aviso de certificado não é uma etapa para ignorar
Bloquear um certificado intermediário comprometido e retirar uma raiz da lista de confiança são ações distintas. Elas podem ter efeitos diferentes para serviços que dependem da cadeia afetada.
Para o usuário comum, a orientação publicada pela Microsoft é manter as atualizações de confiança e os componentes do navegador recebendo as correções. Se um serviço passar a exibir erro de certificado, ignorar o aviso não comprova que a conexão é segura. Cabe ao responsável pelo serviço verificar e corrigir a cadeia utilizada.
