Por Canuto  

Mozilla reaccionó al compromiso de claves privadas vinculadas con ocho certificados intermedios de eMudhra y los bloqueó en Firefox mediante OneCRL, una medida que llegó a los usuarios con configuraciones estándar en menos de tres horas. La compañía también anunció nuevas versiones de Firefox y una actualización de NSS para ampliar la protección.
***

  • Mozilla recibió el reporte el 17 de octubre y completó la distribución de la actualización de OneCRL a las 22:59 UTC.
  • Las claves comprometidas podían permitir la emisión de certificados HTTPS fraudulentos y facilitar la suplantación de sitios si un atacante interceptaba la conexión.
  • Firefox 158.0.1, las versiones ESR anunciadas y NSS 3.131.1 amplían la protección a usuarios y aplicaciones que podrían no recibir la actualización automática.

Mozilla bloquea certificados comprometidos de eMudhra para proteger a Firefox

Claves comprometidas planteaban un riesgo para las conexiones HTTPS

Mozilla informó que actuó después de recibir, el sábado 17 de octubre a las 20:06 UTC, un reporte sobre el compromiso de claves privadas asociadas con ocho certificados intermedios de eMudhra. En una publicación de su blog de seguridad, la compañía explicó que esas claves podían permitir a terceros emitir certificados HTTPS fraudulentos para sitios web que no controlan. El incidente motivó medidas de protección en Firefox y cambios adicionales en el almacén de certificados de Mozilla.

Los certificados intermedios forman parte de la cadena de confianza que permite a un navegador comprobar la identidad de un sitio seguro. En términos generales, una autoridad certificadora puede firmar certificados intermedios, que a su vez validan certificados utilizados por páginas web; por eso, el control de sus claves privadas es relevante para la seguridad de las conexiones. Si una clave de ese tipo cae en manos no autorizadas, podría utilizarse para crear certificados que parezcan legítimos ante ciertos sistemas.

Mozilla advirtió que un atacante capaz de interceptar la conexión de una persona podría usar esos certificados para suplantar sitios web y, potencialmente, leer o modificar el tráfico intercambiado. La posibilidad descrita depende de esa capacidad de interceptación, por lo que no equivale a afirmar que cualquier usuario que visitara una página estuviera automáticamente expuesto. La publicación tampoco detalló casos confirmados de ataques ni identificó sitios concretos afectados.

El punto central del aviso es el riesgo que representa el posible uso de las claves comprometidas para emitir credenciales falsas, no una confirmación de que ya se hubieran empleado con ese fin. Mozilla no publicó en la información suministrada detalles sobre cómo ocurrió el compromiso, quién estaría detrás ni cuántas personas pudieron verse afectadas. La compañía señaló que priorizó bloquear los certificados relacionados mientras evaluaba otras medidas para reducir la confianza en ellos.

OneCRL permitió bloquearlos sin esperar una actualización del navegador

Los ingenieros de Mozilla incorporaron los certificados afectados a OneCRL, la lista centralizada que la compañía utiliza para distribuir revocaciones a Firefox. Según Mozilla, ese mecanismo permite que el navegador aplique la protección sin que cada persona tenga que descargar una nueva versión o reiniciar el programa. La respuesta se enfocó primero en limitar la confianza en los certificados intermedios señalados en el reporte.

La cronología informada por la compañía muestra que la actualización de OneCRL quedó distribuida a las 22:59 UTC del mismo 17 de octubre. Eso ocurrió menos de tres horas después de que Mozilla recibiera el aviso inicial, registrado a las 20:06 UTC. La empresa indicó que la medida llegó a todos los usuarios de Firefox con configuraciones estándar, sin requerir una acción manual para obtener ese bloqueo.

Mozilla también anunció Firefox 158.0.1 para escritorio y Android, además de Firefox ESR 115.43.1 y Firefox ESR 153.5.1. La compañía indicó que esos lanzamientos distribuirían la protección a una minoría de usuarios cuyas configuraciones personalizadas podrían haberles impedido recibir la actualización de OneCRL. Así, el lanzamiento no se presentó como el primer paso de defensa para la mayoría, sino como una vía adicional para cubrir configuraciones que quizá no obtuvieron la actualización automática.

La diferencia entre el bloqueo centralizado y las versiones nuevas ayuda a entender por qué Mozilla comunicó ambas medidas. OneCRL puede actuar con rapidez para los navegadores que reciben esa lista, mientras que una actualización del programa ofrece una alternativa para los casos con ajustes que interfieren con esa distribución. Mozilla no especificó qué configuraciones personalizadas podrían haber impedido la recepción ni cuántos usuarios estaban en esa situación.

La actualización de NSS amplía la protección más allá de Firefox

Además de las medidas para Firefox, Mozilla anunció una actualización de su lista de certificados confiables en NSS, identificada como NSS 3.131.1. El cambio elimina el certificado raíz que firmó los certificados intermedios afectados. Al retirar esa raíz de la lista de confianza, Mozilla busca añadir una capa de protección relacionada con la cadena de certificados, más allá del bloqueo ya aplicado mediante OneCRL.

Mozilla explicó que Firefox ya estaba protegido a través de OneCRL, pero que la actualización de NSS puede beneficiar también a otras aplicaciones que utilizan el almacén de confianza de Mozilla o versiones derivadas de él. La diferencia importa porque no todos esos programas reciben actualizaciones de OneCRL. Para las aplicaciones que dependen de una copia del almacén de confianza, la modificación de NSS ofrece otra vía para dejar de aceptar la raíz asociada con los certificados señalados.

Este enfoque combina medidas de alcance y tiempos distintos: una lista de revocación para responder con rapidez en Firefox, versiones del navegador para quienes podrían no haber recibido esa lista y un cambio en NSS para entornos que usan sus certificados confiables. La publicación no afirma que todas las aplicaciones basadas en NSS se actualicen automáticamente, ni indica cuándo cada proveedor incorporará la nueva versión. El efecto concreto dependerá de cómo cada programa gestione su almacén de confianza y sus actualizaciones.

La respuesta también ilustra por qué la seguridad de HTTPS depende de algo más que el cifrado entre un navegador y un sitio. El navegador debe confiar en certificados que acrediten la identidad del sitio, y una clave comprometida puede debilitar esa validación si no se bloquea o se retira la confianza correspondiente. En este caso, Mozilla presentó varias acciones para contener el riesgo, sin afirmar que el uso de certificados fraudulentos ya hubiera sido detectado.

Mozilla sostuvo que todas las personas tienen un derecho fundamental a la seguridad y la privacidad en línea, y dijo que mantiene su compromiso de defender esos derechos y actuar rápidamente para proteger a sus usuarios. También señaló que la transparencia resulta esencial para conservar la confianza y que compartirá más información cuando las circunstancias lo permitan. Por ahora, los hechos divulgados se limitan al compromiso de las claves, las medidas técnicas aplicadas y los lanzamientos anunciados.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados