O que acontece depois que um certificado de segurança é descreditado?

A remoção de um certificado de segurança pode deixar o sistema em risco

Em junho de 2024, o Chrome Root Program da Google anunciou que deixaria de confiar em novos certificados de segurança TLS da empresa Entrust. A decisão foi baseada em anos de falhas de conformidade e em problemas técnicos claros. A ação foi correta.

No entanto, o que acontece depois da remoção do certificado é um problema que muitos ainda não sabem como lidar. As equipes de segurança são boas em tomar a decisão técnica de remover a confiança, mas não têm um plano para o que acontece em seguida.

O sistema de segurança da internet, chamado de Web PKI, parece distribuído, mas é controlado por um pequeno grupo de certificados principais. Esses certificados são usados para garantir a segurança de sites, assinaturas digitais, e até mesmo a comunicação entre máquinas. Se um desses certificados for removido, o impacto pode ser muito grande. Não é só um site que para — pode ser todo o serviço.

Já aconteceu com outras empresas. Em 2011, a DigiNotar teve mais de 500 certificados falsos e foi fechada. Em 2017, a Symantec teve problemas e encerrou suas atividades. Em 2022, a TrustCor também foi afetada. E agora, em 2024, a Entrust também. Em todos esses casos, as equipes de segurança conseguiram substituir os certificados antes que os usuários percebessem o problema.

Mas isso não significa que a situação está resolvida. Ainda não foi testado em grande escala.

Imagine um banco regional cujo único certificado de segurança perde a confiança. Ele não consegue processar transações nem autenticar sistemas. A equipe fica desesperada, mas o certificado está sobrecarregado. Em poucas horas, os clientes ficam bloqueados e as autoridades querem respostas. Já os concorrentes que usam outro certificado não têm problemas.

Além disso, duas mudanças estão tornando a situação mais complexa. Primeiro, a criptografia usada em certificados tem prazo de validade. A NIST já definiu novas regras para substituição (FIPS 203, 204 e 205), o que significa que todos precisarão migrar para novos métodos de segurança, mesmo que não tenham escolha.

Segundo, a inteligência artificial está tornando mais fácil para criminosos encontrar chaves frágeis, enganar usuários e até mesmo criar certificados falsos.

No Brasil

No Brasil, o uso de certificados digitais é comum em transações online, assinaturas eletrônicas e até mesmo em comunicação entre órgãos públicos. A LGPD (Lei Geral de Proteção de Dados) exige que as empresas garantam a segurança de dados, o que inclui o uso adequado de certificados. Se um certificado for descreditado, pode haver impactos no cumprimento da LGPD, no caso de vazamento de dados ou perda de confiança de clientes.

Além disso, a falta de planejamento para substituição de certificados pode resultar em interrupções em serviços críticos, como bancos, hospitais e até mesmo governos.

Como se proteger

• Mantenha uma lista atualizada de certificados usados pela sua empresa ou instituição. Isso facilita a substituição rápida, se necessário.
• Teste regularmente a substituição de certificados em ambientes controlados. Isso ajuda a identificar possíveis falhas antes que aconteçam em produção.
• Use ferramentas de monitoramento para detectar quando um certificado se aproxima do fim de sua validade. Isso evita surpresas.
• Converse com especialistas em segurança da informação para elaborar um plano de contingência. Isso é essencial para evitar interrupções críticas.

Precisa de ajuda com isso?

Se você está preocupado com a segurança de sistemas digitais, a remoção de certificados ou a proteção de dados, o serviço Proteção de Identidade e LGPD pode ajudar. Cada caso é único, e a consulta inicial é gratuita, sigilosa e conduzida com respeito. Nossa equipe está preparada para orientar e apoiar você em qualquer etapa.

Importante: Todos os citados são presumidos inocentes até condenação definitiva transitada em julgado (Art. 5º, LVII, CF).