Mozilla y Google bloquearon ocho certificados digitales de la empresa india eMudhra después de que un investigador anónimo, identificado solo como Wayne, demostró que podía falsificar la identidad de cualquier sitio de internet.
Los certificados digitales son las credenciales que permiten a un navegador confirmar que una página es quien dice ser y cifrar el tráfico mediante el protocolo HTTPS. Quien controla la clave privada de uno de esos certificados puede hacerse pasar por cualquier sitio web.
Seis de los ocho certificados comprometidos se usan para asegurar conexiones web y los otros dos para firmar programas de software. Todos están respaldados por los programas de confianza de Mozilla, Microsoft, Apple y Google, de los que dependen la mayoría de los navegadores y sistemas operativos del mundo.
El problema no estuvo en el cifrado sino en cómo eMudhra generó las claves. Una clave de ese tipo debería tener alrededor de 384 bits de aleatoriedad, miles de billones de combinaciones posibles. Las ocho claves filtradas tenían apenas entre tres y ocho bits, lo que las hacía recuperables en segundos.
Un ingeniero de Mozilla recuperó las ocho claves por su cuenta en menos de dos horas, sin conocer el método del primer reportante, y confirmó así que la falla era real. Otros investigadores le pidieron a asistentes de inteligencia artificial que resolvieran el problema como si fuera un desafío de seguridad informática, y lo lograron en el primer intento.
Un error que recuerda al desastre de Heartbleed
Filippo Valsorda, ingeniero de criptografía y uno de los mantenedores del lenguaje de programación Go, le dijo a Ars Technica que la limpieza sería “más grande que Heartbleed”, la falla de 2014 que tardó años en repararse por completo.
Según explicó, el problema ahora se repetirá en dispositivos de internet de las cosas, contenedores de software y computadoras con Linux que nadie actualiza, sistemas mucho más difíciles de alcanzar que un navegador.
El riesgo mayor es para quienes usan redes privadas virtuales, conocidas como VPN, y para las personas que viven bajo gobiernos dispuestos a interceptar el tráfico de internet. Aplicaciones como Signal y WhatsApp no dependen de estos certificados para proteger sus mensajes, por lo que no están expuestas.
Los usuarios no pueden revisar por sí mismos si sus programas ya bloquearon los certificados comprometidos, porque esa protección depende de que cada fabricante distribuya su propia actualización. Mantener el navegador y el sistema operativo al día es, por ahora, la única medida al alcance de la mayoría de las personas.
Hasta el momento no hay evidencia en los registros públicos de transparencia de certificados de que alguien haya emitido certificados falsos con las claves filtradas, según un aviso que Mozilla envió a otros fabricantes de navegadores y sistemas operativos. El mismo aviso advirtió que el abuso de esas claves es probable en el corto plazo.
Una limpieza que involucra a toda la industria del software
La reparación definitiva depende de actualizar decenas de sistemas distintos, desde distribuciones de Linux como Ubuntu y Debian hasta lenguajes de programación como Python, Rust y Go, además de navegadores, sistemas operativos móviles y programas como Electron. Cada uno debe eliminar o marcar como no confiables los certificados afectados.
Ante la posibilidad de que varias personas hubieran recuperado las mismas claves y difundido la información en público, Mozilla decidió ir un paso más allá: retiró por completo la confianza en uno de los certificados raíz de eMudhra, llamado emSign ECC Root CA – G3, en lugar de bloquear solo los certificados intermedios comprometidos.
eMudhra es una autoridad certificadora con sede en India, habilitada para emitir credenciales de seguridad aceptadas por los principales navegadores del mundo. Las ocho claves comprometidas formaban parte de un lote de 24 certificados intermedios generados en abril de 2025.
Mozilla le pidió a eMudhra que deje de emitir certificados desde cualquier cadena vinculada a esa raíz y que ayude a migrar a sus clientes hacia alternativas. La actualización de paquetes para sistemas como Debian y Node.js todavía seguía pendiente al cierre de esta nota.
.
Fuente: Infobae — Ver noticia original