Alerta máxima: descubren de 8 certificados intermedios comprometidos
Segu-Info · 21 oct, 19:01
Ocho certificados intermedios de la autoridad de certificación eMudhra han sido comprometidos, con sus claves privadas expuestas. Mozilla y Google Chrome han confirmado el incidente el 20 de octubre y bloqueado los certificados de inmediato. Aunque no hay evidencia de uso malicioso hasta el momento en los registros de transparencia, la remediación será compleja y afectará a sistemas Linux, dispositivos IoT y otros componentes críticos de Internet.
Las claves privadas de los ocho certificados intermedios de eMudhra Limited, una autoridad de certificación india, fueron comprometidas. El descubrimiento se confirmó cuando alguien publicó un aviso en emudhra.we-have-a-problem.com firmado digitalmente con una de las claves privadas comprometidas, demostrando el control sobre ellas. Los navegadores y responsables de aplicaciones y lenguajes de programación bloquearon inmediatamente todos los certificados afectados para evitar su uso en la emisión de certificados fraudulentos que serían aceptados como legítimos por millones de servidores.
La remediación presenta desafíos significativos. Además de los navegadores modernos, será necesario actualizar distribuciones de Linux, dispositivos IoT, contenedores Docker, sistemas legacy, herramientas de línea de comandos que incluyen copias locales de certificados raíz (práctica común en ecosistemas como Python), y otros componentes de Internet. Un ingeniero criptográfico comparó el impacto con el de Heartbleed, anticipando que las repercusiones se prolongarán durante mucho tiempo y requerirán trabajo de limpieza masiva a nivel de administradores de sistemas.
Puntos clave
- Ocho certificados intermedios de eMudhra Limited comprometidos
- Confirmado por Mozilla y Google Chrome el 20 de octubre
- Bloqueados inmediatamente en navegadores principales
- Sin evidencia actual de uso malicioso en registros de transparencia
- Remediación compleja: Linux, IoT, Docker, herramientas CLI y ecosistemas legacy