Ocho claves de firma comprometidas de la autoridad de certificación india eMudhra han dejado al descubierto una brecha entre las protecciones de los navegadores y el software que opera detrás de sitios web y herramientas de trading. Al veintiuno de octubre, los principales fabricantes de navegadores habían bloqueado los certificados afectados, pero algunos programas ajenos a los navegadores aún podían aceptar credenciales falsificadas porque no comprueban si los certificados han sido revocados.
Conclusiones clave
- Los investigadores recuperaron ocho claves privadas débiles que podían utilizarse para firmar certificados que suplantaran sitios web de confianza.
- Los fabricantes de navegadores bloquearon los certificados afectados, pero la revocación por sí sola no protege el software que nunca la comprueba.
- No se habían notificado ataques relacionados con las criptomonedas; la preocupación se extiende al software obsoleto en el conjunto de internet.
Índice
- Dónde persiste la exposición tras la brecha de claves de eMudhra
- ¿Qué protecciones habían llegado a los usuarios?
- Cómo las claves débiles socavaron la verificación de sitios web
- Por qué el software de trading requiere atención específica
- Conclusión
Dónde persiste la exposición tras la brecha de claves de eMudhra
La distinción importante está entre revocar un certificado y garantizar que el software se niegue a confiar en él. eMudhra revocó los certificados afectados, pero el investigador de seguridad Scott Helme advirtió que esta medida no ofrece protección a los programas que no comprueban el estado de revocación.
Helme afirmó que sus pruebas mostraron que curl, Python, Node, Go y Java aceptaban un certificado falsificado para la API de Stripe. Se trató de una demostración de aceptación de certificados, no de una prueba de que Stripe hubiera sufrido una brecha.
Un certificado fraudulento puede permitir que un intermediario de red suplante un servicio de confianza y lea o altere el tráfico. Los bloqueos de los navegadores abordan esa vía en los navegadores protegidos; no garantizan que todas las aplicaciones independientes o los sistemas de backend cuenten con una protección equivalente.
| Elemento | Detalles |
|---|---|
| Mozilla y Chrome | Ambos bloquearon los certificados afectados el diecisiete de octubre; el bloqueo de Mozilla se produjo unas tres horas después del informe. |
| Apple | Respondió posteriormente, el diecinueve de octubre. |
| Microsoft | Respondió posteriormente, el veinte de octubre. |
| Revocación de certificados | eMudhra revocó los certificados afectados, pero para que esa medida sea útil, el software debe comprobar la revocación. |
| Correcciones disponibles para software ajeno a los navegadores | Había correcciones disponibles para Go, el paquete certifi de Python y webpki-roots de Rust. |
| Node.js | Al veintiuno de octubre, aún estaba pendiente una corrección. |
¿Qué protecciones habían llegado a los usuarios?
La respuesta comenzó después de que un investigador llamado Wayne alertara a los fabricantes de navegadores el diecisiete de octubre. Demostró que controlaba las ocho claves comprometidas al utilizarlas para firmar digitalmente su advertencia. La disponibilidad de correcciones no demostraba que todas las instalaciones se hubieran actualizado.
Cómo las claves débiles socavaron la verificación de sitios web
Las autoridades de certificación proporcionan las credenciales que los navegadores utilizan para verificar la identidad de los sitios web. Por ello, sus claves privadas de firma tienen una responsabilidad distinta de la de una contraseña corriente de un sitio web: una clave de firma comprometida puede utilizarse para crear certificados de apariencia auténtica para otros sitios.
Helme afirmó que recuperó las ocho claves a partir de certificados públicos en menos de un segundo. Entre los valores de las claves privadas que identificó figuraban 4 y 56, lo que ilustra la escasa resistencia que ofrecían las claves a su recuperación. Dijo que habían estado expuestas desde abril de 2025.
Según la interpretación de Helme de un informe de errores de Mozilla, eMudhra atribuyó el problema a un fallo en su script de configuración de claves.
Por qué el software de trading requiere atención específica
Para los usuarios de criptomonedas, la exposición relevante no se limita a abrir una plataforma de intercambio en un navegador. Los bots de las plataformas de intercambio, los scripts de trading y los sistemas backend de las carteras pueden depender del software ajeno a los navegadores afectado. En teoría, un certificado falsificado de la API de una plataforma de intercambio podría permitir que un atacante en la misma red interceptara o alterara el tráfico de un bot.
No se habían notificado ataques relacionados con las criptomonedas. Mudit Gupta, director de tecnología de Polygon Labs, afirmó que la vulnerabilidad era un problema general de seguridad del software, no algo específico de las criptomonedas, y que el software antiguo o sin parches planteaba una preocupación particular. Añadió que los usuarios que mantuvieran actualizados sus monederos, herramientas de trading y dispositivos se enfrentaban a un riesgo menor.
Conclusión
La respuesta de los navegadores cerró una vía inmediata para suplantar certificados, pero no resolvió el problema más amplio del software. La exposición restante depende de que cada herramienta rechace las credenciales comprometidas, no simplemente de que el emisor las haya revocado.
Leer más noticias
Aviso legal
Este artículo de FinanceVelix ofrece información general, no asesoramiento financiero, de inversión, jurídico o fiscal personalizado. Los precios de mercado, los tipos de interés y las condiciones económicas pueden cambiar; las inversiones conllevan riesgo de pérdida. Los hechos reflejan la información disponible en el momento de la publicación y pueden cambiar. Verifique de forma independiente la información importante y consulte a un profesional cualificado cuando sea necesario. La mención de un activo, empresa o servicio no constituye una recomendación.
