A chave privada que protegia uma autoridade de certificação de confiança era o número 4

Não um número de 384 bits que começa por quatro. O número quatro. Um investigador que assina como Flupke publicou essa chave privada no GitHub, porque já não restava nela segredo nenhum para proteger.

As autoridades de certificação são aquele pequeno grupo de organizações em que o seu navegador confia para dar garantia aos sites. A eMudhra é uma delas, uma empresa indiana cujo certificado de raiz vem incluído no Firefox, no Chrome, no Safari e no Windows. Durante uma cerimónia de geração de chaves em abril de 2025, um script defeituoso produziu um segundo lote de chaves ao lado das corretas, todas com valores abaixo de 256 e por isso recuperáveis experimentando 256 números. As etiquetas eram suficientemente parecidas com as verdadeiras para que os funcionários escolhessem o lote errado. Saíram oito certificados intermédios assinados com chaves que um portátil resolve na hora de almoço, e quem tivesse uma poderia ter emitido um certificado HTTPS de aparência válida para qualquer site que lhe apetecesse.

A limpeza foi rápida. A Mozilla recebeu o aviso às 20:06 UTC de 17 de outubro e já tinha os utilizadores do Firefox protegidos às 22:59 dessa mesma noite, através do OneCRL, uma lista de revogação que chega aos navegadores sem atualização. O Chrome bloqueou no próprio dia, a Apple a 19 e a Microsoft a 20. Não há indícios de que alguém tenha abusado das chaves, e a maioria dos oito certificados nunca chegou a ser usada em produção, embora tecnicamente a janela estivesse aberta desde abril do ano passado.

A parte automática protege-o sem perguntar. O resto não: o Firefox 158.0.1, os arquivos de certificados de raiz renovados e os ambientes de execução corrigidos por baixo de outros programas chegam como atualizações vulgares, e um navegador três versões atrasado não recebe nenhuma delas. A verificação de atualizações de aplicações do Tendvane passa pelo winget e põe o Chrome, o Firefox e o Edge em dia numa só passagem.