Ocho claves secretas de eMudhra, una empresa india que certifica la autenticidad de sitios web, fueron vulneradas. Los navegadores y los fabricantes de software se apresuran a publicar soluciones
Cuando un usuario visita un sitio web, su navegador comprueba un certificado digital para confirmar que el sitio es auténtico. Los certificados los emiten empresas llamadas autoridades de certificación, y eMudhra es una de ellas. Según The Register, ha emitido más de 60 millones de certificados.
Cada autoridad de certificación firma sus certificados con una clave privada. Piensa en ella como un sello maestro. Si alguien roba o descifra ese sello, puede falsificar certificados que parezcan auténticos para cualquier sitio web. Como
Los usuarios de criptomonedas también podrían verse afectados, aunque principalmente fuera del navegador. Los bots de exchanges, los scripts de trading y los sistemas backend de las billeteras suelen ejecutarse en Python, Node o Go, y un certificado falsificado para la API de un exchange podría permitir, en teoría, que un atacante en la misma red leyera o alterara el tráfico de un bot. Hasta ahora no se ha informado de ningún ataque relacionado con criptomonedas.
Los fabricantes de navegadores y los desarrolladores de software han publicado parches de emergencia. Mozilla recibió el informe el 17 de octubre, poco después de las 20:00 UTC, y bloqueó los certificados unas tres horas más tarde. Chrome bloqueó los certificados ese mismo día. Apple tomó medidas el 19 de octubre y Microsoft, el 20. eMudhra también los ha revocado.
Los mecanismos exactos de cómo ocurrió este desastre quedaron expuestos en el Boletín oficial de seguridad de Mozilla. Según la interpretación de Helme de un ticket de error de Mozilla, eMudhra culpó a un fallo en su script de configuración de claves.
La verdadera preocupación está fuera del navegador. Muchos programas nunca comprueban si se ha revocado un certificado. «Así que el hecho de que eMudhra y Sectigo hayan revocado estos certificados intermedios no les sirve de nada», escribió Helme.
Afirma que sus pruebas demostraron que herramientas como curl, Python, Node, Go y Java aceptaron un certificado falsificado para la API de Stripe. Ya hay parches disponibles para Go, el paquete certifi de Python y webpki-roots de Rust. La última vez que se comprobó, el parche para Node.js aún estaba pendiente.