← Voltar para Blog de Segurança

Certificados autoassinados — O risco oculto na infraestrutura VPN empresarial

A pesquisa KENSAI revela que 41% dos gateways VPN corporativos usam certificados autoassinados ou expirados. Isto cria pontos cegos para ataques MITM e prejudica toda a postura de segurança da infraestrutura de acesso remoto.

---

O risco negligenciado

Embora as organizações invistam milhões em firewalls de próxima geração e arquiteturas de confiança zero, persiste uma lacuna fundamental de segurança: 41% dos gateways VPN corporativos ainda usam certificados TLS autoassinados ou expirados. A varredura do KENSAI de mais de 12,000 endpoints VPN em empresas da região DACH revela esse risco oculto que a maioria das auditorias de segurança ignora.

---

Por que os certificados VPN autoassinados são perigosos

1. Ataques man-in-the-middle

Quando um cliente VPN encontra um certificado autoassinado, ele rejeita a conexão (interrompendo o acesso) ou os usuários são treinados para aceitar avisos. Esse comportamento de aceitar o aviso elimina a defesa primária contra ataques MITM – validação de certificado.

2. Sem capacidade de revogação

Certificados autoassinados não podem ser revogados por meio de mecanismos padrão CRL ou OCSP. Se uma chave privada for comprometida, não há como invalidar o certificado em todos os clientes sem intervenção manual em todos os dispositivos.

3. Violações de conformidade

O artigo 21 da NIS2 exige "medidas técnicas apropriadas e proporcionais" para segurança de rede. Certificados autoassinados em infraestrutura crítica não atendem a esse requisito. O controle A.10.1 da ISO 27001 aborda especificamente controles criptográficos e gerenciamento de certificados.

4. Risco da cadeia de suprimentos

Quando fornecedores terceirizados se conectam à sua VPN com certificados autoassinados, eles criam uma cadeia de confiança não verificável. Um invasor que comprometa o fornecedor pode apresentar seu próprio certificado autoassinado sem ser detectado.

---

Dados de pesquisa

Emissão de certificado	Prevalência	Nível de risco
Autoassinado (sem cadeia de CA)	28%	Crítico
Certificados expirados	9%	Alto
Assinaturas SHA-1	4%	Alto
Curinga em endpoints VPN	12%	Médio
Faltando grampeamento OCSP	67%	Médio
Válido e assinado por uma CA confiável	59%	Baixo

---

Roteiro de remediação

1. Inventário: Catalogue todos os endpoints VPN e seus status de certificado usando varreduras KENSAI
2. Implantar PKI: Configure uma PKI interna ou use uma CA pública confiável para certificados VPN
3. Automatize a renovação: Implemente o protocolo ACME ou ferramentas de gerenciamento de certificados para renovação automática
4. Aplicar validação: Configure clientes VPN para rejeitar certificados autoassinados — sem exceções
5. Monitore continuamente: Configure alertas para certificados que expiram em 30 dias
6. Requisitos do fornecedor: Obrigar certificados assinados por CA para todas as conexões VPN de terceiros

---

Implicações de NIS2

Sob NIS2, certificados autoassinados em infraestrutura VPN crítica poderiam constituir um falha na implementação de medidas técnicas apropriadas (Artigo 21). As organizações encontradas em não conformidade enfrentam multas de até € 10 milhões. Mais criticamente, se ocorrer uma violação através de uma vulnerabilidade de certificado autoassinado, a organização poderá enfrentar penalidades adicionais por negligência.