Mozilla, Google y Apple bloquean los certificados de la autoridad de certificación eMudhra que han sido comprometidos

La au­to­ri­dad de cer­ti­fi­ca­ción eMudh­ra re­vo­có ocho cer­ti­fi­ca­dos in­ter­me­dios vul­ne­ra­bles des­pués de que se des­cu­brie­ra que sus cla­ves pri­va­das eran ex­tre­ma­da­men­te dé­bi­les, lo que per­mi­tía re­cu­pe­rar­las de forma casi in­me­dia­ta para fal­si­fi­car cer­ti­fi­ca­dos de si­tios web le­gí­ti­mos. Las prin­ci­pa­les pla­ta­for­mas y na­ve­ga­do­res con­fia­ban en estos ele­men­tos afec­ta­dos, lo que ha­bría per­mi­ti­do a ata­can­tes su­plan­tar pá­gi­nas le­gí­ti­mas y cap­tu­rar co­mu­ni­ca­cio­nes ci­fra­das. La de­bi­li­dad fue de­tec­ta­da por un in­ves­ti­ga­dor de se­gu­ri­dad me­dian­te el aná­li­sis de datos pú­bli­cos de cer­ti­fi­ca­dos, y otro in­ves­ti­ga­dor de­mos­tró el fallo pu­bli­can­do una de las cla­ves pri­va­das com­pro­me­ti­das.

La pro­pia en­ti­dad de cer­ti­fi­ca­ción ex­pli­có que el pro­ble­ma se debió a un fallo en un script uti­li­za­do para ge­ne­rar los ele­men­tos afec­ta­dos, el cual pro­du­jo cla­ves más dé­bi­les que fue­ron se­lec­cio­na­das por error. Aun­que la com­pa­ñía in­di­có que la ma­yo­ría de estos cer­ti­fi­ca­dos in­ter­me­dios no se uti­li­za­ron en en­tor­nos de pro­duc­ción y no halló prue­bas de que se emi­tie­ran cer­ti­fi­ca­dos para usua­rios fi­na­les, los ata­can­tes ha­brían te­ni­do la ca­pa­ci­dad de ex­plo­tar­las. Tras el aviso, eMudh­ra anuló los cer­ti­fi­ca­dos afec­ta­dos y de­tu­vo la emi­sión de otros nue­vos bajo su raíz G3.

Como res­pues­ta, dis­tin­tos pro­vee­do­res de soft­wa­re y na­ve­ga­do­res im­ple­men­ta­ron blo­queos y ac­tua­li­za­cio­nes para mi­ti­gar el ries­go. Mo­zi­lla, Goo­gle y Apple in­tro­du­je­ron me­di­das de pro­tec­ción en sus res­pec­ti­vas pla­ta­for­mas y ver­sio­nes de soft­wa­re. Asi­mis­mo, el equi­po de de­sa­rro­llo de Go lanzó ac­tua­li­za­cio­nes para aten­der la vul­ne­ra­bi­li­dad y se ha­bi­li­ta­ron si­tios de se­gui­mien­to e ins­truc­cio­nes para que los ad­mi­nis­tra­do­res ve­ri­fi­quen si sus sis­te­mas con­ti­núan ex­pues­tos.