Aviso de Segurança: Comprometimento da Autoridade Certificadora Intermediária eMudhra

Resumo Executivo

A Elo Touch Solutions está monitorando ativamente e abordando uma vulnerabilidade criptográfica em toda a indústria envolvendo a eMudhra Technologies Limited, uma Autoridade Certificadora (CA) comercial. No dia 17 de Outubro de 2026, pesquisadores de segurança divulgaram que chaves privadas associadas a oito certificados de CAs intermediárias operados pela eMudhra foram geradas com defeitos criptográficos críticos (entropia extremamente fraca de apenas 3 a 8 bits), permitindo que terceiros deduzissem imediatamente as chaves privadas de assinatura.

O impacto potencial para os clientes da Elo está restrito às linhas de produtos Android e Windows corporativos da Elo. O escopo da proteção automática é importante entender:

• Dispositivos Android 14 GMS: Protegidos via uma atualização emergencial do Google Play Services enviada em 19 de Outubro de 2026.
• Dispositivos Windows: Protegidos via atualização da Lista de Certificados Desautorizados do Microsoft Windows em 20 de Outubro de 2026, e uma atualização automática do CRLSet para Microsoft Edge e WebView2.
• Android 13 e versões anteriores, builds apenas AOSP e dispositivos não-GMS: Não protegidos automaticamente. Administradores devem aplicar o plano de mitigação manual descrito neste aviso até que uma atualização oficial do firmware do sistema operacional da Elo, incorporando o próximo patch do Google, seja lançada e instalada.

Não há outros produtos da Elo afetados. A infraestrutura corporativa da Elo, serviços em nuvem (EloView, Elo Radar e Elo Remote), e sistemas internos não estão comprometidos. Neste momento, não há relatos de exploração ativa contra os clientes da Elo.

Resumo em um Relance

• Problema: Um erro criptográfico crítico foi divulgado envolvendo oito Autoridades Certificadoras intermediárias da eMudhra, permitindo potencialmente que atacantes falsifiquem sites seguros ou forjem assinaturas confiáveis.
• Impacto: O impacto é limitado aos dispositivos Android e Windows corporativos da Elo; todos os outros produtos e soluções da Elo não são afetados. Esta vulnerabilidade se originou estritamente dentro do processo externo de geração de chaves da eMudhra. A infraestrutura da Elo, plataformas em nuvem e sistemas internos estão completamente seguros e não comprometidos.
• Resolução para Android (Android 14 GMS): A proteção foi entregue silenciosamente e automaticamente através de atualizações em segundo plano do Play Services e do navegador. Não é necessário atualizar o firmware ou realizar ações manuais.
• Resolução para Android (Outras Versões): Para Android 13 e anteriores, AOSP e não-GMS, o Google fornecerá uma atualização de patch que a Elo integrará em uma atualização de firmware do sistema operacional. Até lá, use o plano de mitigação manual abaixo.
• Resolução para Windows: Atualizações totalmente automatizadas para a Lista de Certificados Desautorizados do Windows e CRLSet bloqueiam automaticamente as chaves comprometidas.

Análise de Impacto Detalhada por Arquitetura no Android

1. Navegadores Web Android (Google Chrome)

O Chrome gerencia seu próprio repositório raiz independente e não se baseia no repositório de confiança do sistema operacional Android subjacente. O Chrome enviou atualizações internas silenciosas para bloquear os certificados comprometidos através de sua lista interna de revogação (CRLSet). Além disso, a aplicação nativa de Transparência de Certificados (CT) do Chrome rejeitará instantaneamente qualquer tentativa de apresentar um certificado forjado porque nenhum certificado legítimo foi registrado antes da revogação.

2. Aplicativos Nativos do Android usando WebView

Aplicativos que utilizam a API de controle WebView (como o Controlador WebView da Elo) requerem atualizações em nível de sistema:

• Em dispositivos Android 14 GMS: O Google Play Services automaticamente adicionou os oito hashes de chave pública comprometidos à lista de bloqueio segura do sistema Android. A validação técnica mostrou que esta lista chegou dentro de um segundo após a conexão com a internet em dispositivos que foram restaurados para as configurações de fábrica.
• Em outras versões do Android/AOSP: Atualizações em nível de sistema não estão disponíveis via Play Services. Esses dispositivos permanecem vulneráveis até que a próxima atualização de firmware do sistema operacional da Elo seja aplicada.

Plano de Mitigação Manual

Requerido para dispositivos Android 13 e anteriores, apenas AOSP, e não-GMS operando em redes restritas.

Controle Compensatório em Nível de Rede

Para grandes frotas corporativas, é altamente recomendado bloquear conexões de entrada/saída que apresentem certificados assinados pelas chaves intermediárias comprometedores da eMudhra em seu gateway web seguro ou firewall corporativo (por exemplo, Zscaler, Palo Alto Networks, Fortinet).

Procedimento de Desativação de Certificado Manual

1. Navegue até Configurações > Segurança (ou Segurança & Privacidade > Mais Configurações de Segurança).
2. Selecione Criptografia & credenciais > Credenciais confiáveis.
3. Na aba Sistema, localize e ative Desativar nos seguintes dois certificados raiz (abrange tanto variantes diretas quanto cruzadas):
   • emSign ECC Root CA - G3 (Listada sob eMudhra Technologies Limited)
   • AAA Certificate Services (Listada sob Comodo CA Limited)

Nota: Desativar essas raízes assegura TLS do sistema Android e aplicativos WebView. Navegadores autônomos como o Chrome continuarão a depender de suas próprias atualizações internas automáticas.

Verificação e Teste de Endpoints

Administradores de segurança podem validar as configurações de segurança de dispositivos locais e de rede usando os seguintes endpoints de testes independentes:

• Teste Primário de Intermediário Comprometido: https://dv-g3b-emudhra.we-have-a-problem.com/
• Referência Geral de Incidente e Conjunto de Testes: https://emudhra.we-have-a-problem.com/

Outros Produtos e Serviços da Elo

Os displays touchscreen interativos da Elo, sinalização, sistemas de ponto de venda, periféricos e ferramentas de gerenciamento de backend não utilizam ou confiam nas cadeias de certificados afetadas da eMudhra e estão completamente não afetados. Os serviços em nuvem da Elo (incluindo EloView, Elo Radar e Elo Remote) não utilizam certificados emitidos pela eMudhra.

Referências & Recursos

• Resposta da Microsoft aos Certificados de Autoridade Certificadora eMudhra Comprometidos
• Blog de Segurança do Google: Protegendo Usuários do Chrome & Android de Certificados de CA Intermediários da eMudhra Comprometidos

Aviso: Os tempos de entrega de atualizações variam de acordo com a região, modelo do dispositivo e fornecedor terceirizado. Algumas atualizações podem exigir que o sistema operacional esteja executando a versão mais recente de manutenção antes que a correção seja aplicada. Este aviso é fornecido "como está" apenas para fins informativos; a Elo Touch Solutions nega todas as garantias, expressas ou implícitas, incluindo garantias implícitas de comercialização e adequação a um propósito específico. A Elo se reserva o direito de atualizar este aviso conforme informações adicionais se tornem disponíveis.