Radar ·
Raízes de CA privadas de inspeção TLS podem emitir certificados sem registro em logs de transparência
Um autor afirma que raízes de inspeção TLS instaladas em notebooks corporativos podem emitir certificados para qualquer site sem aparecer em logs de transparência, porque navegadores exigem esse registro só de CAs publicamente confiáveis. A fonte não traz links.
Segundo o briefing publicado em 22 de outubro de 2026, raízes de autoridade certificadora privadas, como a usada por produtos de inspeção TLS da Zscaler, instaladas em notebooks corporativos, podem emitir certificados para qualquer site. Esses certificados não precisariam ser registrados em logs públicos de transparência de certificados, porque os navegadores exigem esse registro apenas de CAs publicamente confiáveis. O autor descreve isso como uma lacuna de confiança real: raízes instaladas localmente podem se passar por domínios sem deixar rastros visíveis fora da própria organização. O texto menciona relevância para modelos de ameaça, mas não apresenta testes, medições, versões afetadas ou resposta de fornecedores.
A fonte não contém links, fontes primárias ou dados verificáveis. Para consultar o material, procure a publicação original do autor e os documentos de política de confiança dos navegadores sobre transparência de certificados. Para avaliar o risco no seu ambiente, verifique quais raízes privadas estão instaladas nos equipamentos e quem pode alterar o repositório de confiança. Este item é um resumo factual de uma afirmação, não uma validação técnica dela.
Fonte original: Raízes de CA privadas como a da Zscaler podem emitir certificados sem log