Google, Mozilla, Apple y Microsoft respondieron urgentemente a ocho certificados intermedios vulnerables de la autoridad de certificación india eMudhra, con el problema conocido el 17 de octubre. Seis certificados eran para HTTPS y dos para firma de código. Debido a claves privadas débiles, era posible falsificar certificados de otros sitios y, al interceptar una conexión, presentar un recurso falso como genuino, como un intercambio de criptomonedas o un sitio de billetera. Los ingenieros de Mozilla restauraron las claves, confirmando que la vulnerabilidad es fácil de explotar.
La razón fue un error de generación de claves en abril de 2025. Los certificados usaban el algoritmo de curva P-384, pero en lugar de números grandes aleatorios, las claves tenían valores menores a 256, por lo que la fuerza bruta no tomaría más de 256 intentos. El problema no era con la fuerza de P-384, sino con la generación incorrecta. La vulnerabilidad fue descubierta por primera vez por un investigador bajo el seudónimo de Wayne, quien proporcionó a los desarrolladores de navegadores pruebas de posesión de las ocho claves. eMudhra confirmó que las claves fueron creadas en abril de 2025 y declaró que los centros raíz y otros intermedios no fueron afectados.
El riesgo era extenso, pero las consecuencias fueron menos severas: según eMudhra, solo uno de los ocho certificados se utilizó en la infraestructura de trabajo. No hubo registros de certificados TLS a través de los seis centros afectados en Certificate Transparency. Chrome bloqueó las claves el 17 de octubre a través de CRLSet, y Mozilla las agregó a OneCRL el mismo día: la protección llegó a los usuarios con configuraciones estándar en menos de tres horas. Apple bloqueó los certificados el 19 de octubre y Microsoft el 20; Cloudflare actualizó WARP y Cloudflare Tunnel y fortaleció la protección en CDN y Zero Trust.
No hay confirmaciones de explotación contra usuarios de Firefox, Chrome, Edge y Safari, ni signos de ataques a los servicios de Cloudflare. No obstante, Mozilla está excluyendo el certificado raíz emSign ECC Root CA – G3 de la tienda NSS, y Google hará lo mismo en la Chrome Root Store a partir del 27 de octubre. eMudhra dejará de emitir a través de este raíz y migrará a los clientes a otra infraestructura: aproximadamente 30,000 certificados deberán ser reemplazados, aproximadamente el 97% de los cuales fueron emitidos a través de ACME.
Este material se ha preparado exclusivamente con fines informativos y no constituye asesoramiento ni recomendación financiera.
Artículos relacionados
