eMudhra Limited ha anunciado que abandonará el negocio global de certificados SSL/TLS tras revelarse que ocho de sus certificados de autoridad de certificación intermedia presentaban claves privadas débiles. Esta decisión, efectiva para octubre de 2026, se produce tras la implementación de protecciones de emergencia en los navegadores y dudas sobre sus controles de emisión. La empresa aclaró que sus otros servicios de confianza digital no se verán afectados.

eMudhra Limited ha anunciado que está abandonando el negocio global de certificados SSL/TLS tras revelar la existencia de claves privadas débiles en ocho certificados de autoridad de certificación intermedia. La decisión del 22 de octubre de 2026 sigue a las protecciones de emergencia de los navegadores y a las crecientes dudas sobre los controles de emisión de certificados de la empresa. eMudhra afirmó que sus otros servicios de confianza digital no se han visto afectados.

En su anuncio oficial, la empresa señaló que su junta directiva aprobó la salida voluntaria tras revisar el incidente y las perspectivas del negocio. El presidente V. Srinivasan afirmó que eMudhra revocó los certificados de CA afectados en las 14 horas posteriores al descubrimiento y reveló el problema con prontitud.

La compañía aseguró que ninguna de las CA intermedias afectadas había emitido certificados de entidad final, que son los que utilizan los sitios web o los editores de software. También afirmó que su infraestructura no fue comprometida, que no hubo filtración de datos y que todos los controles de seguridad físicos y lógicos permanecieron intactos.

Claves privadas débiles provocaron una acción de emergencia

El incidente comenzó con un informe del 17 de octubre de un investigador identificado como Wayne. Según el registro público de incidentes de Mozilla, el investigador aportó pruebas de control sobre ocho claves privadas. Mozilla recuperó las claves de forma independiente, confirmando que su proceso de generación presentaba fallos graves. Seis de los certificados afectados soportaban TLS, mientras que dos soportaban la firma de código.

El problema técnico fue la falta de aleatoriedad. CERT-In señaló que las claves privadas de curva elíptica P-384 afectadas tenían valores inferiores a 256, lo que permitía recuperarlas casi instantáneamente a partir de sus claves públicas. El fallo estuvo en la generación de las claves, no en el algoritmo P-384 en sí mismo.

La explicación preliminar de eMudhra apuntó a una ceremonia de generación de claves el 30 de abril de 2025. Un script defectuoso utilizado durante un paso de encapsulado y desencapsulado de claves creó un segundo conjunto de claves débiles. Etiquetas de claves similares llevaron entonces al personal a utilizar esas claves débiles en las solicitudes de firma de certificados en lugar de las claves fuertes originales.

Como se cubrió en el informe anterior sobre el compromiso de la autoridad de certificación de eMudhra, el problema provocó medidas de bloqueo de emergencia. Cualquiera que recuperara estas claves podría potencialmente emitir certificados falsos. En los casos donde las cadenas afectadas seguían siendo confiables, un atacante capaz de interceptar el tráfico de red podría suplantar sitios web o alterar las comunicaciones.

Google y Mozilla bloquearon las claves TLS afectadas el 17 de octubre. Ambos también avanzaron hacia la eliminación de la confianza en emSign ECC Root CA – G3, protegiendo a los clientes que no reciben o aplican de manera fiable la información de revocación de certificados intermedios. CERT-In señaló que se esperaba que el cambio en el almacén de raíces de Chrome llegara a los dispositivos pertinentes el 27 de octubre.

eMudhra estimó que unos 30.000 certificados requerían migración. Estos certificados no deben confundirse con los emitidos por los ocho intermedios débiles. CERT-In afirmó que, hasta el 21 de octubre, las divulgaciones públicas no habían establecido una explotación maliciosa confirmada.

La respuesta refleja las consecuencias más amplias de los fallos de las autoridades de certificación, también vistos en la eliminación por parte de Google de dos autoridades de certificación de Chrome. Las decisiones de confianza de los navegadores pueden obligar a los operadores de sitios web a reemplazar certificados que, de otro modo, serían válidos para mantener los servicios accesibles.

eMudhra señaló que el SSL/TLS global aporta aproximadamente el 1% de sus ingresos. El aumento de los requisitos de soberanía de datos, los costes de cumplimiento y la competencia de los proveedores de certificados gratuitos han reducido la rentabilidad del negocio. Srinivasan también sostuvo que el escrutinio en las redes sociales fue desproporcionado en relación con el tamaño del segmento.

La empresa planea mantener sus raíces G1 RSA sirviendo a los clientes durante la transición y proporcionar certificados de reemplazo a través de socios sin coste alguno. Los servicios de revocación y de estado de certificados continuarán hasta que los certificados emitidos expiren o sean reemplazados. También se comprometió a completar las obligaciones del programa de navegadores, incluido un informe completo sobre la causa raíz.

Mientras tanto, la advertencia de CERT-In insta a los administradores a actualizar los navegadores y los almacenes de confianza, revisar las cadenas de certificados y reemplazar los certificados afectados. Los equipos también deben revisar los paquetes de certificados independientes en aplicaciones, contenedores y dispositivos de red, en lugar de asumir que las actualizaciones del navegador protegen cada sistema.

Fuentes:
https://cybersecuritynews.com/emudhra-exits-global-ssl-tls-certificate/