Los navegadores bloquean las autoridades de certificación intermedias de eMudhra debido a claves privadas recuperables

Las cla­ves pri­va­das vin­cu­la­das a ocho cer­ti­fi­ca­dos in­ter­me­dios de la au­to­ri­dad de cer­ti­fi­ca­ción india eMudh­ra su­frie­ron un com­pro­mi­so, lo que mo­ti­vó que di­ver­sos pro­gra­mas raíz y al­ma­ce­nes de con­fian­za pro­ce­die­ran a blo­quear­los. Estos cer­ti­fi­ca­dos fue­ron emi­ti­dos en abril de 2025 y cier­tos ele­men­tos clave afec­ta­dos per­mi­tían la crea­ción de cer­ti­fi­ca­dos frau­du­len­tos para su­plan­tar la iden­ti­dad de cual­quier sitio web ante los usua­rios.

Goo­gle in­di­có que las cla­ves se crea­ron con una alea­to­rie­dad in­su­fi­cien­te, es decir, con una en­tro­pía crip­to­grá­fi­ca débil, lo que per­mi­tía ge­ne­rar cer­ti­fi­ca­dos HTTPS fal­sos. Di­ver­sas com­pa­ñías de tec­no­lo­gía y se­gu­ri­dad im­ple­men­ta­ron blo­queos y re­vo­ca­cio­nes en sus na­ve­ga­do­res y ser­vi­cios du­ran­te el mes de oc­tu­bre. Por su parte, la pro­pia en­ti­dad eMudh­ra re­vo­có los cer­ti­fi­ca­dos afec­ta­dos y no­ti­fi­có el pro­ble­ma a los al­ma­ce­nes de con­fian­za se­cun­da­rios.

Un es­pe­cia­lis­ta de Mo­zi­lla de­ta­lló que las cla­ves pri­va­das se ob­tu­vie­ron de forma in­co­rrec­ta y po­dían ex­traer­se con fa­ci­li­dad de los cer­ti­fi­ca­dos de­bi­do a que pre­sen­ta­ban va­lo­res casi nulos a ex­cep­ción de su úl­ti­mo byte, per­mi­tien­do su re­cu­pe­ra­ción in­me­dia­ta me­dian­te un al­go­rit­mo ma­te­má­ti­co. Aun­que no se ha­lla­ron in­di­cios en los re­gis­tros de trans­pa­ren­cia de cer­ti­fi­ca­dos de que las cla­ves fue­ran uti­li­za­das con fines ma­li­cio­sos antes de su anu­la­ción, la en­ti­dad res­pon­sa­ble ad­mi­tió erro­res hu­ma­nos y fa­llas en el script uti­li­za­do du­ran­te el pro­ce­so de ge­ne­ra­ción de las cla­ves.