Un error de seguridad de eMudhra dejó las claves de firma de una autoridad de certificación de confianza al alcance de cualquiera
Una falla de seguridad en la autoridad de certificación india eMudhra dejó expuestas las llaves privadas de ocho certificados intermedios, las cuales eran tan débiles que podían recuperarse desde los certificados públicos en menos de un segundo. El hallazgo fue realizado por un investigador de seguridad y notificado a varios gigantes tecnológicos y a la propia compañía, lo que llevó a que el incidente se hiciera público mediante un aviso que alertaba sobre la capacidad de los atacantes para emitir certificados HTTPS falsos para sitios web ajenos.
Las llaves privadas afectadas formaban parte de un grupo generado por un fallo en un script utilizado durante una ceremonia de llaves, provocando que tuvieran valores extremadamente pequeños en lugar de ser números aleatorios extensos. Esto permitió que varios expertos en seguridad obtuvieran las llaves de forma sumamente sencilla en sus propios ordenadores. Como consecuencia, diferentes navegadores y desarrolladores de sistemas operativos procedieron a bloquear los certificados afectados y a revocar o retirar la confianza en el certificado raíz de la empresa involucrada.
La compañía responsable atribuyó el problema a errores humanos en múltiples fases del proceso y a un script defectuoso, señalando además que planea revisar todas las ceremonias de llaves que ha realizado previamente. Aunque los navegadores web implementaron medidas de protección con rapidez, los expertos advirtieron que aplicaciones, servidores y dispositivos que no procesen adecuadamente las actualizaciones de revocación continúan expuestos a riesgos de seguridad.