Por Canuto  

Mozilla y otras empresas tecnológicas bloquearon ocho certificados intermedios de eMudhra después de detectar claves privadas débiles. La empresa atribuyó el problema a un error en un script usado para generar los certificados. No hay evidencia de ataques contra los principales navegadores, pero la protección no llega automáticamente a todos los sistemas.

***

  • Mozilla, Chrome, Apple, Microsoft y Cloudflare desplegaron medidas contra los certificados afectados en distintos momentos.
  • La falla podría facilitar la suplantación de sitios y la lectura o alteración de datos si un atacante intercepta una conexión.
  • Mozilla no encontró señales de uso contra los principales navegadores, pero dijo que desconoce si hubo ataques a otros clientes.

 

Bloqueo urgente por claves vulnerables

Desarrolladores de navegadores y otras empresas tecnológicas desplegaron medidas de emergencia contra ocho certificados intermedios emitidos por eMudhra Limited, autoridad de certificación con sede en India. La respuesta llegó después de que se detectara que las claves privadas asociadas eran débiles, una falla que, según el reporte de Cointelegraph difundido por TradingView, podría permitir la suplantación de sitios web legítimos.

El ingeniero de criptografía de Mozilla, Dennis Jackson, explicó en un informe de incidentes que la compañía recuperó de manera independiente las claves privadas cuando recibió el aviso inicial el sábado. Esa comprobación confirmó, según Jackson, que el proceso utilizado para generarlas era defectuoso y trivial de explotar, un diagnóstico que llevó a los proveedores de tecnología a bloquear los certificados en lugar de esperar a que surgieran señales de abuso.

En respuesta a Mozilla, eMudhra atribuyó el problema a un error en un script utilizado para generar los certificados en abril de 2025, según informó BleepingComputer. Un certificado digital ayuda a validar la identidad de un sitio y forma parte de la infraestructura que permite establecer conexiones web seguras. Los certificados intermedios ocupan una posición dentro de esa cadena de confianza, por lo que una clave privada comprometida o predecible puede debilitar la garantía que otros sistemas depositan en ellos.

La amenaza descrita no significa que cualquier usuario haya sido atacado ni que los ocho certificados hayan servido efectivamente para cometer fraude. El escenario planteado por Mozilla requiere que un atacante intercepte la conexión de una persona y utilice certificados fraudulentos para imitar el sitio al que intenta acceder, con la posibilidad de leer o alterar la información intercambiada.

Respuestas de navegadores y servicios

Mozilla dijo que recibió el informe el sábado y ese mismo día incorporó el bloqueo de los certificados afectados en Firefox mediante OneCRL, el mecanismo que utiliza para distribuir revocaciones. Además, publicó una actualización para las versiones de escritorio y Android, dirigida también a usuarios con configuraciones personalizadas que podían impedirles recibir automáticamente la actualización de OneCRL.

Jackson señaló que Chrome bloqueó los certificados desde el sábado, mientras que los dispositivos Apple incorporaron la medida el lunes y las plataformas de Microsoft lo hicieron el martes. El calendario muestra que distintas compañías actuaron en momentos diferentes, aunque todas apuntaron a impedir que sus sistemas aceptaran los certificados señalados como confiables.

Cloudflare comunicó que conoció el informe el lunes y que el martes lanzó actualizaciones para sus clientes de Cloudflare One y WARP, además de Cloudflare Tunnel. La empresa también aplicó mitigaciones en todos sus servicios, según la información publicada sobre el incidente, ampliando la respuesta más allá de las protecciones incorporadas directamente en los navegadores.

Las medidas reducen el riesgo en los productos que reciben y aplican esos bloqueos, pero no resuelven por sí solas la exposición de cada dispositivo o aplicación conectada a internet. La propia advertencia de Mozilla subraya esa diferencia: algunos sistemas no reciben automáticamente las listas de revocación o las protecciones que distribuyen los navegadores y proveedores principales.

Lo que se sabe y lo que sigue sin aclararse

Mozilla indicó que no encontró evidencia de que Firefox, Chrome, Edge o Safari hubieran sufrido ataques mediante estos certificados. Jackson relacionó esa evaluación con la ausencia de entradas en los registros de transparencia de certificados para los certificados intermedios desde abril de 2025, una observación que limita lo que puede afirmarse sobre su uso contra los principales navegadores.

La ausencia de esos registros no despeja todas las dudas, porque muchos clientes fuera del ecosistema de navegadores no aplican la transparencia de certificados. Mozilla dijo que no sabe si algún atacante aprovechó el proceso defectuoso de generación de claves para dirigirse a esos clientes, por lo que la compañía distinguió entre la falta de señales en los navegadores y la incertidumbre sobre otros sistemas.

Jackson afirmó que el problema se comunicó de manera responsable a los almacenes de confianza que dependen de esos certificados el 19 de octubre. Añadió que muchos ya habían lanzado actualizaciones o estaban en proceso de hacerlo, aunque la información disponible no detalla qué clientes ajenos a los navegadores completaron la mitigación ni si alguno recibió un ataque.

Por eso, el bloqueo de emergencia es una respuesta importante, pero no equivale a confirmar que todos los programas y dispositivos estén protegidos. Para evaluar la exposición de un sistema concreto, importa si recibe actualizaciones de seguridad y si el proveedor distribuye los bloqueos correspondientes; la noticia no identifica una lista completa de aplicaciones que continúan vulnerables.

Un antecedente que recuerda los límites de la confianza

El incidente evoca la brecha de DigiNotar ocurrida en 2011, cuando atacantes comprometieron a esa autoridad de certificación de Países Bajos. En aquel caso, los intrusos emitieron 531 certificados SSL fraudulentos, una cantidad que permitió suplantar servicios y puso en cuestión la confianza que los sistemas depositaban en una entidad que debía verificar identidades digitales.

Entre los sitios suplantados figuró Google, y los certificados ilegales permitieron a los actores de amenazas espiar aproximadamente 300.000 cuentas de Gmail iraníes. El antecedente ilustra cómo una falla o intrusión en una autoridad de certificación puede tener consecuencias para usuarios que no interactúan directamente con esa entidad, aunque el caso actual no demuestra que haya ocurrido una operación comparable.

La comparación con DigiNotar aporta contexto sobre la importancia de reaccionar ante claves débiles, pero no debe confundirse con evidencia de que eMudhra haya sufrido una intrusión equivalente. La información disponible describe una falla en la generación de claves y bloqueos preventivos; no confirma que los certificados se hayan utilizado para interceptar comunicaciones ni reporta cuentas afectadas.

La atención ahora se concentra en que las actualizaciones lleguen también a los sistemas que no heredan automáticamente los bloqueos de los navegadores. Mientras Mozilla reconoce que desconoce si hubo explotación contra esos clientes, las medidas de las empresas reducen la posibilidad de que los certificados identificados sigan siendo aceptados en las plataformas que ya aplicaron sus protecciones.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados