Uma autoridade de certificação, a eMudhra, usou chaves criptográficas extremamente fracas. Em vez de um número gigante e difícil de adivinhar, como um cadeado com 115 dígitos, ela escolheu o número 4. Outras sete chaves também eram fracas, com números como 56, 66 e 115. Esses cadeados protegem a confiança que a internet deposita nos certificados, que são os documentos digitais que comprovam que um site é quem diz ser.

Por que isso importa: qualquer pessoa consegue recuperar essas chaves a partir dos próprios certificados públicos e, com elas, criar certificados falsos para qualquer domínio que um cliente sem correção aceite. Diferentemente de incidentes anteriores com outras autoridades, o acesso às chaves não ficou restrito a um grupo pequeno de atacantes. A eMudhra disse que vai deixar o negócio de certificados públicos e atribuiu o erro a um script de geração de chaves, ainda não divulgado.

A Cloudflare afirma que todos os sistemas de alta prioridade já foram corrigidos e que alguns poucos chamados de baixo impacto seguem em andamento. A empresa também registrou cerca de 22 mil tentativas de conexão com as chaves fracas desde o início do monitoramento. A maioria foi de testes e de servidores que criaram certificados próprios com a autoridade fraca. Cerca de 160 casos chamaram atenção por trazerem nomes de domínios de outras organizações, alguns ligados a dispositivos IoT de consumo, mas não há evidência de que as chaves tenham sido usadas para interceptar conexões da Cloudflare até agora.

Sobre os visitantes, a empresa usou páginas de desafio para testar, com cerca de 50 milhões de testes na última semana, se ainda confiam nas chaves. Navegadores modernos e atualizados estão majoritariamente protegidos, mas bots, navegadores antigos e navegadores embutidos em aplicativos, como o Android WebView, ainda aceitam entre 30% e 40% dos testes. Nas grandes redes, mais da metade dos testes ainda é aceita. A Cloudflare ressalva que o tráfego tem muitos bots não confirmados, então os números são indicativos.

O que fazer: a própria Cloudflare recomenda atualizar os sistemas e seguir as instruções de correção de um site colaborativo mantido por Dennis Jackson, especialmente para desenvolvedores em macOS. Clientes da Cloudflare que usam produtos como WARP ou Tunnel devem consultar o post anterior da empresa. A recomendação geral é instalar as correções o quanto antes e manter os sistemas atualizados.