Se han visto comprometidas ocho claves CA de eMudhra, lo que ha provocado la aplicación de correcciones de emergencia en navegadores y programas informáticos

Los pro­gra­mas de raíz de Chro­me y Mo­zi­lla con­fir­ma­ron que las lla­ves pri­va­das de ocho cer­ti­fi­ca­dos de una au­to­ri­dad cer­ti­fi­ca­do­ra in­ter­me­dia fue­ron com­pro­me­ti­das. Cual­quier en­ti­dad en po­se­sión de estas lla­ves po­dría haber emi­ti­do cer­ti­fi­ca­dos vá­li­dos para cual­quier sitio web. Tras re­ci­bir el aviso de un in­ves­ti­ga­dor, Chro­me y Fi­re­fox pro­ce­die­ron a blo­quear las ocho cer­ti­fi­ca­cio­nes en cues­tión pocas horas des­pués. Hasta ese mo­men­to, no se ha­bían re­gis­tra­do cer­ti­fi­ca­dos TLS vin­cu­la­dos a los seis in­ter­me­dia­rios web en la Trans­pa­ren­cia de Cer­ti­fi­ca­dos antes de la in­ter­ven­ción de Chro­me, por lo que no ha­brían sido con­fia­bles de ma­ne­ra pre­de­ter­mi­na­da. To­da­vía se des­co­no­ce el mo­men­to, la forma en que las lla­ves sa­lie­ron de la en­ti­dad afec­ta­da ni quié­nes las po­seen ac­tual­men­te.

Los cer­ti­fi­ca­dos afec­ta­dos per­te­ne­cen a la marca em­Sign de la com­pa­ñía eMudh­ra, con sede en la India y pre­sen­cia en otros paí­ses, y abar­can va­li­da­cio­nes de do­mi­nio, de or­ga­ni­za­ción, de ex­ten­sión y de firma de có­di­go. Cada uno de estos ocho ele­men­tos cuen­ta con un se­gun­do cer­ti­fi­ca­do con la misma llave pú­bli­ca que fue fir­ma­do de ma­ne­ra cru­za­da por otra en­ti­dad. Di­ver­sas pla­ta­for­mas y na­ve­ga­do­res apli­ca­ron blo­queos y lis­tas de re­vo­ca­ción de forma rá­pi­da, mien­tras que otros pro­gra­mas y bi­blio­te­cas op­ta­ron por eli­mi­nar di­rec­ta­men­te los cer­ti­fi­ca­dos raíz in­vo­lu­cra­dos, lo que po­dría pro­vo­car que al­gu­nos ser­vi­do­res dejen de estar ac­ce­si­bles tem­po­ral­men­te hasta que ac­tua­li­cen sus ca­de­nas.

Mo­zi­lla y Chro­me han to­ma­do me­di­das drás­ti­cas eli­mi­nan­do los cer­ti­fi­ca­dos raíz afec­ta­dos de sus sis­te­mas, y este úl­ti­mo se en­cuen­tra ade­más eva­luan­do el es­ta­do de otras raí­ces de la misma com­pa­ñía de­bi­do a la gra­ve­dad de la si­tua­ción. Se in­ves­ti­ga con­jun­ta­men­te la causa raíz del in­ci­den­te, aun­que por el mo­men­to los re­po­si­to­rios de la em­pre­sa im­pli­ca­da no mos­tra­ban avi­sos al res­pec­to.