Alerta máxima: descubren de 8 certificados intermedios comprometidos

Las cla­ves pri­va­das de ocho cer­ti­fi­ca­dos de au­to­ri­da­des de cer­ti­fi­ca­ción (CA) in­ter­me­dias de eMudh­ra se en­cuen­tran com­pro­me­ti­das, según con­fir­ma­ron el 20 de oc­tu­bre Mo­zi­lla y el pro­gra­ma de cer­ti­fi­ca­dos raíz (Root Pro­gram) de Goo­gle Chro­me.

Hacia el final de la ma­ña­na del mar­tes, los de­sa­rro­lla­do­res de na­ve­ga­do­res, así como los res­pon­sa­bles de im­por­tan­tes apli­ca­cio­nes y len­gua­jes de pro­gra­ma­ción, ya ha­bían blo­quea­do los ocho cer­ti­fi­ca­dos in­ter­me­dios. Hasta el mo­men­to, no hay in­di­cios en los re­gis­tros de trans­pa­ren­cia de cer­ti­fi­ca­dos, que ras­trean la emi­sión de todos los cer­ti­fi­ca­dos en los que con­fían los na­ve­ga­do­res, de que las cla­ves com­pro­me­ti­das hayan sido uti­li­za­das con fines ma­li­cio­sos. Sin em­bar­go, la ame­na­za dista mucho de haber ter­mi­na­do, ya que ac­tua­li­zar otros com­po­nen­tes clave de In­ter­net, como las dis­tri­bu­cio­nes de Linux, los dis­po­si­ti­vos in­te­gra­dos y los equi­pos del "In­ter­net de las Cosas" (IoT), será una tarea com­ple­ja y que re­que­ri­rá mucho tiem­po.

Los ocho cer­ti­fi­ca­dos in­ter­me­dios per­te­ne­cen a eMudh­ra Li­mi­ted, una au­to­ri­dad de cer­ti­fi­ca­ción con sede en la India. En un aviso in­for­mal pu­bli­ca­do el mar­tes en el sitio web emudh­ra.we-have-a-pro­blem.com, apa­re­ció el men­sa­je: "Te­ne­mos un pro­ble­ma aquí, Wayne". El texto es­ta­ba fir­ma­do di­gi­tal­men­te me­dian­te la clave pri­va­da de uno de los cer­ti­fi­ca­dos de eMudh­ra. Al de­mos­trar­se que quien emi­tía el aviso tenía con­trol sobre dicha clave, los equi­pos de se­gu­ri­dad reac­cio­na­ron de in­me­dia­to, dado que esa misma clave po­dría uti­li­zar­se para fir­mar cer­ti­fi­ca­dos no au­to­ri­za­dos, los cua­les se­rían acep­ta­dos como le­gí­ti­mos por mi­llo­nes de ser­vi­do­res en todo el mundo…