Por Canuto  

eMudhra anunció que dejará el negocio global de certificados SSL/TLS después de que Chrome, Firefox, Apple y Microsoft bloquearan ocho de sus certificados. La empresa atribuye el problema a una falla en una ceremonia de generación de claves y afirma que sus otros servicios digitales seguirán operando.
***

  • La junta directiva de eMudhra aprobó su retirada voluntaria del mercado global TLS, una actividad que representa cerca del 1% de sus ingresos globales, según la compañía.
  • La compañía atribuyó la debilidad de ocho claves intermedias a un error durante una ceremonia realizada el 30 de abril de 2025.
  • eMudhra dice que reemplazará los certificados afectados sin costo y mantendrá sus demás negocios de identidad y firma digital.

eMudhra deja el negocio global de certificados TLS tras el bloqueo de ocho claves

La empresa india eMudhra decidió retirarse voluntariamente del negocio global de certificados SSL/TLS, después de que varios proveedores de navegadores bloquearan ocho certificados de la compañía. La junta directiva aprobó la salida tras el incidente que afectó las claves asociadas a esos certificados.

La decisión no supone el cierre de eMudhra ni el abandono de todas sus actividades vinculadas con identidad digital. Su presidente, V. Srinivasan, señaló que el negocio global de certificados aporta alrededor del 1% de los ingresos de la compañía y que sus otros segmentos continuarán operando.

Una retirada tras el bloqueo de certificados

Los certificados TLS permiten que navegadores y servidores establezcan conexiones protegidas y ayudan a verificar que un sitio web corresponde al dominio que presenta. Para cumplir esa función, las autoridades de certificación deben custodiar claves criptográficas que permiten emitir certificados confiables. Si una clave privada puede calcularse con facilidad, se compromete la confianza que sostiene ese proceso.

En este caso, el problema afectó a las claves privadas de ocho certificados intermedios de eMudhra. Según la información difundida sobre el incidente, eran lo bastante débiles como para que un investigador pudiera calcularlas. Chrome, Firefox, Apple y Microsoft bloquearon los certificados, por lo que sus productos dejaron de confiar en ellos.

La salida del mercado ocurre en un contexto comercial que la compañía describió como cada vez más difícil. Srinivasan señaló que las exigencias de soberanía de datos y cumplimiento normativo han vuelto más complejo y costoso operar este negocio, mientras que algunos grandes proveedores ofrecen certificados sin cobrar, lo que reduce el potencial de crecimiento y rendimiento para eMudhra.

La empresa también sostuvo que la atención y la amplificación del caso en redes sociales generaron un nivel de escrutinio desproporcionado respecto de la importancia de SSL/TLS dentro de su actividad. Esa explicación forma parte de la postura de eMudhra sobre su retirada y no cambia el hecho de que los proveedores de navegadores bloquearon los certificados afectados tras detectarse que sus claves podían calcularse.

La explicación de eMudhra sobre el origen del fallo

En un comunicado, eMudhra atribuyó el incidente a un error ocurrido durante una ceremonia de generación de claves celebrada el 30 de abril de 2025. La compañía explicó que un paso de “envolver y desenvolver” produjo, junto al conjunto de claves fuertes, un segundo conjunto débil, y que los certificados correspondientes terminaron en los almacenes de confianza de los navegadores.

Srinivasan afirmó que la compañía revocó las autoridades de certificación afectadas dentro de las 14 horas posteriores al descubrimiento y que comunicó el problema con prontitud. También dijo que esas autoridades no emitieron certificados para sitios web ni para usuarios, y que nadie vulneró la infraestructura o los datos de eMudhra. Esas afirmaciones corresponden al relato de la empresa sobre su respuesta al incidente.

La firma indicó que las autoridades de certificación habían superado auditorías independientes durante dos años consecutivos. Sin embargo, el descubrimiento de claves débiles llevó a los proveedores de navegadores a bloquear los certificados afectados. La compañía también afirmó que un investigador independiente logró calcular las claves privadas.

Transición para clientes y continuidad de otros servicios

eMudhra dijo que sus raíces G1 RSA seguirán prestando servicio a los clientes mientras se completa la transición. La compañía trabaja con los programas de los navegadores y prevé contactar a los clientes afectados para reemplazar sus certificados sin costo, mediante sus socios, aunque no detalló un calendario para completar cada sustitución.

Los servicios de revocación y consulta del estado de certificados continuarán funcionando hasta que cada certificado emitido haya expirado o cuente con un reemplazo. La empresa también se comprometió a cumplir los compromisos pendientes con los programas de raíces de los navegadores, incluido un informe completo sobre la causa raíz del fallo.

El negocio que eMudhra dejará es una parte de su cartera, no el conjunto de sus operaciones. La compañía afirmó que mantendrá sus certificados de firma digital y servicios eSign en India y otros mercados, además de sus plataformas empresariales de infraestructura de clave pública, emCA y CertiNext.

También seguirán en su oferta la suite de firma electrónica emSigner y los productos de identidad SecurePass y emAS. eMudhra tiene sede en Mumbai y opera en más de 35 países. La empresa sostiene que la retirada de TLS no modifica esos otros negocios, aunque la transición de certificados y la entrega del informe de causa raíz todavía forman parte de sus compromisos con los programas de navegadores.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados