Indian tech company eMudhra announces withdrawal from certificate business after security incident
The Record · 22 oct, 20:46
eMudhra, una de las pocas autoridades certificadoras raíz indias confiables por navegadores globales, anuncia su retirada del negocio de certificados SSL/TLS tras descubrir que ocho de sus certificados intermedios tenían claves privadas débiles. Las claves comprometidas, algunas tan simples como los números 4, 56 y 115, permitirían a atacantes falsificar certificados HTTPS para cualquier dominio e interceptar o modificar tráfico web. El problema pasó inadvertido durante 18 meses y sobrevivió dos auditorías independientes antes de ser descubierto por un investigador.
El incidente representa un fallo grave en la ceremonia de creación de certificados en abril de 2025, donde en lugar de generar números aleatorios de 384 bits como es debido, se utilizaron valores triviales. Navegadores como Firefox, Chrome y Safari bloquearon inmediatamente los certificados afectados tras la revelación pública del investigador Scott Helme. eMudhra revocó los certificados dentro de 14 horas del descubrimiento, pero el daño reputacional fue significativo.
La complicación va más allá de los navegadores web. Los almacenes de confianza de certificados están integrados en docenas de productos: sistemas operativos, contenedores Docker, dispositivos embebidos y herramientas de vendedores que incluyen sus propios bundles de certificados. La mayoría de organizaciones carecen de inventario sobre dónde residen estos certificados, por lo que la cadena de suministro de software se ve afectada. Aunque ya revocados, los certificados intermedios de eMudhra no expirarán hasta abril de 2040, lo que significa que clientes antiguos que no procesen información de revocación seguirán confiando en estas cadenas comprometidas hasta ser actualizados.
Puntos clave
- Ocho certificados intermedios con claves privadas débiles (números 4, 56, 115 en lugar de aleatorios de 384 bits)
- Fallos de procedimiento en la ceremonia de creación en abril de 2025, detectado 18 meses después
- Navegadores bloquearon los certificados; revocación dentro de 14 horas del descubrimiento
- Impacto en la cadena de suministro: contenedores, dispositivos embebidos y herramientas legacy sin procesar revocación hasta abril de 2040