Ocho certificados de CA intermedios de eMudhra fueron hackeados debido a una generación de claves insegura, permitiendo interceptar y descifrar comunicaciones HTTPS. Aunque los principales navegadores y sistemas ya han revocado los certificados, se recomienda actualizar el software para evitar riesgos de seguridad.

Las Autoridades de Certificación permiten emitir certificados SSL/TLS para cualquier web. Si la clave privada de estas CA se ve comprometida (se pierden o se hackean), se podrían emitir certificados falsos para posteriormente interceptar y descifrar todas las comunicaciones, por lo que supone un verdadero riesgo para la seguridad y privacidad de los usuarios. Se ha descubierto que han hackeado un total de ocho certificados de CA intermedios a eMudhra Limited, una empresa de India que ha cometido una grave negligencia a la hora de crear estos certificados, porque han usado una forma de generación de las claves totalmente inseguro. Si quieres saber si tu navegador ya ha revocado esta CA intermedia, a continuación, tenéis todos los detalles.

¿Qué ha ocurrido?

Las claves privadas de un total de ocho certificados CA intermedios de eMudhra han sido comprometidos; el problema es que estas claves están vinculadas a certificados raíz de confianza en los navegadores web de Firefox y Chrome, así como también en los almacenes de confianza de Microsoft y Apple, entre otros muchos softwares que usan estos certificados raíces para su correcto funcionamiento.

Hay que tener presente que esta CA intermedia es la más grande de India, tiene alrededor de 600-850 empleados y genera unos 70 millones de dólares anuales. Su único objetivo es ser la plataforma de firma digital y servicios de confianza, y han fallado de la forma más grave posible.

El principal problema radica en que, para la generación de las claves de esos certificados, no usan números aleatorios de una longitud segura, sino que era un simple número aleatorio entre el 1 y el 256, esto significa que un PC podría romper esa clave en menos de un segundo, ya que no son 256 bits, sino simplemente 256 combinaciones. Generalmente se usa criptografía de curva elíptica que cumpla con NIST P-384, la cual contiene 384 bits de entropía, para que sea muy difícil romperla. Los tamaños de claves privadas comprometidas tenían tan solo entre 3 y 8 bits, claramente insuficiente y que permitiría su hackeo en segundos.

Consecuencias

El problema es que cualquier usuario podría generar nuevos certificados para cualquier web y aplicaciones de confianza, para posteriormente descifrar todo el tráfico fácilmente. En países donde hay cierta censura, esto supone un riesgo añadido muy importante, ya que el propio país podría generar nuevos certificados para espiar a sus ciudadanos.

Un investigador de seguridad apodado como «Wayne» avisó con un mensaje que indicaba «We have a problem here – Wayne» y firmado con las claves privadas de las ocho CA mencionadas anteriormente, para demostrar que, efectivamente, habían sido vulneradas.

Ahora mismo la propia CA ha revocado todos los certificados intermedios comprometidos, pero muchos clientes que no usen la información de revocación todavía son vulnerables, y es posible que requieran actualizaciones de software.

¿Qué debo hacer para estar protegido?

Los programas de CA raíces y almacenes de confianza secundarios han recibido la correspondiente actualización para proteger a los usuarios, ahora mismo los certificados están bloqueados en Firefox y Chrome desde el 17 de octubre de 2026, en dispositivos Apple desde el 19 de octubre de 2026, y en equipos de Microsoft desde ayer 20 de octubre de 2026. El problema se comunicó de forma responsable a las entidades de confianza el 19 de octubre de 2026. Aunque la mayoría del software ya está actualizado todavía hay software que está en proceso de hacerlo.

Los certificados de CA de las principales distribuciones de Linux también están parcheados: