Cuando navegas por Internet, aparece un candado en la barra de direcciones: significa que se ha verificado la identidad del sitio web. La verificación se basa en un certificado digital emitido por una autoridad de certificación. Puedes entenderlo así: la autoridad de certificación le da al sitio web un documento de identidad y tiene un sello cuyo diseño es una cadena de números.
Una autoridad de certificación tenía 8 sellos cuyos diseños eran: 4, 56, 66, 115, 155, 156, 230 y 237.
Normalmente, esa cadena de números tendría más de cien dígitos, pero en realidad no llegaba a tres.
Así que cualquiera podía conseguir un certificado público y probar, una por una, las 256 posibilidades para copiar el sello en menos de un segundo.
No habían robado el sello. Seguía exactamente donde siempre, nadie había tocado el servidor. El problema era que el diseño era demasiado corto.
Quien descubrió el problema usó los 8 sellos para firmar una frase y se la envió a varias empresas de navegadores: «Tenemos un problema por aquí —Wayne». Firefox lo bloqueó 3 horas después; Google, ese mismo día; Apple y Microsoft lo siguieron en los dos días siguientes.
Estos 8 sellos se crearon en abril de 2025, con 18 meses de diferencia entre ellos.
Al verificar un certificado, el sistema solo comprueba «si el sello está bien estampado»; nunca comprueba «si el diseño es lo bastante largo y aleatorio».
Por eso, un sello con el diseño 4 y un sello largo verdaderamente aleatorio daban el mismo resultado al verificarse: válido.
Tampoco había ningún registro que indicara «este certificado se estampó con un sello defectuoso». Durante 18 meses, todos los sistemas mostraron que todo estaba en orden. En 2008, Debian tuvo un error del mismo tipo: falló el proceso de generación y el proceso de validación no pudo detectarlo.
Otra autoridad, más grande, respaldó estos 8 sellos: de 8 pasaron a ser 16.
Si alguien los usara para hacerse pasar por el sitio web de tu plataforma de intercambio o monedero habitual, el candado del navegador seguiría en verde y la dirección web seguiría siendo la correcta. No sabrías qué vio o modificó un intermediario, y tampoco quedaría constancia.
La buena noticia es que estos 8 sellos aún no han firmado certificados para sitios web concretos y no hay informes públicos de uso indebido.
La mala noticia es que tus imágenes de Docker, servidores antiguos, cámaras y programas que no comprueban «si el certificado está revocado» no se actualizarán por sí solos. Seguirán aceptando esos 16 sellos.
Yo tiendo a verlo como un problema del sistema, no como un descuido de una empresa. La auditoría no lo detectó porque se fijaba en el proceso.
¿La próxima vez también lo descubrirá alguien que, por casualidad, se ponga a hacer los cálculos?
Una autoridad de certificación tenía 8 sellos cuyos diseños eran: 4, 56, 66, 115, 155, 156, 230 y 237.
Normalmente, esa cadena de números tendría más de cien dígitos, pero en realidad no llegaba a tres.
Así que cualquiera podía conseguir un certificado público y probar, una por una, las 256 posibilidades para copiar el sello en menos de un segundo.
No habían robado el sello. Seguía exactamente donde siempre, nadie había tocado el servidor. El problema era que el diseño era demasiado corto.
Quien descubrió el problema usó los 8 sellos para firmar una frase y se la envió a varias empresas de navegadores: «Tenemos un problema por aquí —Wayne». Firefox lo bloqueó 3 horas después; Google, ese mismo día; Apple y Microsoft lo siguieron en los dos días siguientes.
Estos 8 sellos se crearon en abril de 2025, con 18 meses de diferencia entre ellos.
Al verificar un certificado, el sistema solo comprueba «si el sello está bien estampado»; nunca comprueba «si el diseño es lo bastante largo y aleatorio».
Por eso, un sello con el diseño 4 y un sello largo verdaderamente aleatorio daban el mismo resultado al verificarse: válido.
Tampoco había ningún registro que indicara «este certificado se estampó con un sello defectuoso». Durante 18 meses, todos los sistemas mostraron que todo estaba en orden. En 2008, Debian tuvo un error del mismo tipo: falló el proceso de generación y el proceso de validación no pudo detectarlo.
Otra autoridad, más grande, respaldó estos 8 sellos: de 8 pasaron a ser 16.
Si alguien los usara para hacerse pasar por el sitio web de tu plataforma de intercambio o monedero habitual, el candado del navegador seguiría en verde y la dirección web seguiría siendo la correcta. No sabrías qué vio o modificó un intermediario, y tampoco quedaría constancia.
La buena noticia es que estos 8 sellos aún no han firmado certificados para sitios web concretos y no hay informes públicos de uso indebido.
La mala noticia es que tus imágenes de Docker, servidores antiguos, cámaras y programas que no comprueban «si el certificado está revocado» no se actualizarán por sí solos. Seguirán aceptando esos 16 sellos.
Yo tiendo a verlo como un problema del sistema, no como un descuido de una empresa. La auditoría no lo detectó porque se fijaba en el proceso.
¿La próxima vez también lo descubrirá alguien que, por casualidad, se ponga a hacer los cálculos?