El fallo en los certificados de eMudhra llevó a Google, Mozilla, Apple y Microsoft a bloquear los certificados afectados entre el 17 y el 20 de octubre de 2026, después de que investigadores recuperaran las claves privadas de firma de ocho certificados intermedios. Google también anunció la eliminación más amplia de un certificado raíz de eMudhra; se esperaba que la medida se extendiera a los dispositivos que dependen de Chrome Root Store el 27 de octubre.
Conclusiones clave
- Ocho certificados intermedios tenían claves privadas que podían recuperarse fácilmente: seis para la seguridad de sitios web y dos para la firma de código.
- Antes del bloqueo de Chrome, no se habían registrado públicamente certificados TLS encadenados a los seis certificados intermedios afectados; sigue sin estar claro si hubo exposición fuera de la aplicación de los requisitos de transparencia de certificados.
- La eliminación prevista del certificado raíz por parte de Chrome también podría interrumpir certificados legítimos, por lo que los operadores de los sitios web afectados tendrán que sustituirlos.
Tabla de contenidos
- Cómo el fallo en los certificados de eMudhra comprometió la confianza
- Qué establecieron —y qué no— los bloqueos de emergencia
- La eliminación más amplia del certificado raíz establece un plazo para sustituirlo
- Conclusión
Cómo el fallo en los certificados de eMudhra comprometió la confianza
Las claves afectadas de la autoridad de certificación con sede en India se generaron el 30 de abril de 2025. Dennis Jackson, ingeniero de Mozilla, dijo que las ocho utilizaban números enteros menores que 256, lo que permitía recuperarlas casi al instante, en lugar de ofrecer la aleatoriedad que se espera de claves criptográficas seguras.
Mozilla recuperó las claves de forma independiente el 17 de octubre, lo que confirmó los hallazgos del investigador. Quien tuviera las claves de firma TLS afectadas podría falsificar certificados para suplantar sitios web ante clientes que aún confiaran en esas autoridades.
En su explicación de la causa raíz, eMudhra atribuyó el problema a un script de generación de claves que produjo un segundo par de claves más débil con una etiqueta similar. Ese par se utilizó por error para la solicitud de firma del certificado, debido a errores humanos en varias etapas del proceso.
| Elemento | Detalles |
|---|---|
| Chrome | Bloqueó las claves públicas afectadas el 17 de octubre de 2026. |
| Firefox | Completó el bloqueo mediante OneCRL a las 22:59 UTC del 17 de octubre. |
| eMudhra | Marcó como revocados los ocho certificados afectados el 18 de octubre. |
| Apple | Aplicó el bloqueo el 19 de octubre. |
| Microsoft | Aplicó el bloqueo el 20 de octubre. |
Qué establecieron —y qué no— los bloqueos de emergencia
Chrome bloqueó las claves públicas afectadas mediante su mecanismo CRLSet, protegiendo a los usuarios sin necesidad de actualizar ni reiniciar el navegador. Firefox implementó el bloqueo de OneCRL el mismo día, mientras que eMudhra revocó posteriormente los ocho certificados.
Google dijo que, antes de aplicar el bloqueo, no aparecía en los registros de Certificate Transparency ningún certificado TLS encadenado a los seis certificados intermedios afectados. Por ello, señaló que no se podrían haber utilizado certificados fraudulentos de esas autoridades contra clientes que aplicaran esos requisitos de registro, incluido Chrome.
Ese hallazgo no determina si las claves se utilizaron de forma indebida en otros entornos. El software que no es un navegador no necesariamente aplica la transparencia de certificados ni recibe actualizaciones de bloqueo equivalentes, por lo que sigue sin resolverse el alcance de cualquier exposición anterior.
La eliminación más amplia del certificado raíz establece un plazo para sustituirlo
El anuncio de Google sobre la protección de Chrome y Android también describió la eliminación de emSign ECC Root CA – G3 de Chrome Root Store. Se esperaba que la medida se implementara ampliamente el 27 de octubre de 2026, y que estuviera disponible antes en los canales de versiones preliminares.
Esta medida más amplia es relevante porque algunos certificados legítimos encadenados a ese certificado raíz también dejarán de funcionar en Chrome. Google dijo que los operadores de sitios web afectados deben obtener e instalar certificados TLS de reemplazo de otra jerarquía incluida en su almacén raíz, y que eMudhra se había comprometido a ayudar a los suscriptores a migrar.
Google también dijo que estaba investigando si las demás autoridades de certificación de eMudhra debían seguir incluidas en Chrome Root Store. Esa revisión seguía en curso; no se había completado la eliminación de todas las autoridades de eMudhra.
Conclusión
Los bloqueos inmediatos de certificados abordaron las claves débiles conocidas, pero las medidas correctivas más amplias seguían en curso. El siguiente hito previsto era la implementación de la eliminación del certificado raíz de Chrome el 27 de octubre, que podría afectar a sitios legítimos que no hubieran sustituido los certificados vinculados al certificado raíz eliminado.
Leer más noticias
Aviso legal
Este artículo de FinanceVelix ofrece información general, no asesoramiento financiero, de inversión, legal ni fiscal personalizado. Los precios de mercado, los tipos de interés y las condiciones económicas pueden cambiar; las inversiones conllevan riesgo de pérdida. Los hechos reflejan la información disponible en el momento de la publicación y pueden cambiar. Verifique de forma independiente la información importante y consulte a un profesional cualificado cuando sea necesario. La mención de un activo, una empresa o un servicio no constituye una recomendación.
