Los principales proveedores de navegadores y seguridad en la nube han implementado bloqueos de emergencia para ocho certificados TLS intermedios emitidos por la autoridad de certificación eMudhra Limited, con sede en India, después de que unos investigadores determinaran que el proceso de generación de claves de los certificados tenía fallos y era «trivial de explotar». Mozilla afirma que pudo recuperar las claves privadas afectadas tras recibir un aviso del problema, lo que pone de relieve cómo los atacantes podrían suplantar sitios web legítimos.
El incidente recuerda que los fallos de la infraestructura de clave pública (PKI) no se limitan a un solo navegador. Aunque muchas organizaciones añadieron rápidamente los certificados a sus listas de bloqueo, Mozilla advierte que el riesgo puede persistir en sistemas y aplicaciones que no incorporan esas actualizaciones automáticamente.
Conclusiones clave
Mozilla afirma que los certificados intermedios defectuosos de eMudhra podrían permitir la suplantación de sitios legítimos mediante ataques de intermediario.
Las empresas tecnológicas respondieron bloqueando los ocho certificados en los principales navegadores y plataformas, incluidos Firefox, Chrome, los dispositivos Apple y los entornos de Microsoft.
Mozilla implementó protecciones mediante OneCRL y también publicó actualizaciones del navegador para garantizar que los usuarios recibieran las medidas de mitigación necesarias.
Mozilla subraya que no hay pruebas claras de ataques activos contra navegadores, pero que los clientes que no son navegadores aún podrían estar expuestos.
Por qué importa la falla de los certificados de eMudhra
Según Dennis Jackson, ingeniero de criptografía de Mozilla, los certificados problemáticos se originaron en un proceso de generación de claves «defectuoso» y «trivial de explotar». En un informe del incidente, Jackson afirma que Mozilla recuperó las claves privadas de forma independiente poco después de recibir el aviso por primera vez el sábado, lo que ayudó a confirmar la debilidad subyacente.
Si un atacante puede interceptar la conexión de un usuario, podría presentar certificados fraudulentos para hacerse pasar por sitios web auténticos. Mozilla explica que esa suplantación podría permitir a los atacantes leer o modificar la información intercambiada durante la sesión, según cómo se lleve a cabo el ataque y las protecciones que aplique el entorno objetivo.
Ese posible impacto es la razón principal de la rápida respuesta de emergencia en los almacenes de confianza: la confianza en los certificados es la base que utilizan los navegadores y muchas aplicaciones cliente para decidir si un punto de conexión es auténtico.
Cómo se implementaron las protecciones en navegadores y plataformas
El equipo de seguridad de Firefox de Mozilla dijo que recibió el informe el sábado y actuó rápidamente para bloquear los certificados intermedios afectados en Firefox mediante OneCRL, tarea que completó ese mismo día. Después, Mozilla publicó actualizaciones de Firefox para escritorio y Android.
Mozilla también indicó que esas actualizaciones incluían ajustes personalizados para evitar que ciertos usuarios no recibieran la mitigación de OneCRL. Este detalle es importante porque bloquear certificados no consiste solo en que exista un bloqueo, sino también en que las configuraciones de los clientes descarguen los cambios de bloqueo a tiempo.
Cloudflare, que también opera infraestructura de seguridad para el tráfico web, informó que se enteró del problema el lunes. Posteriormente, el martes publicó actualizaciones para Cloudflare One y los clientes de WARP, así como para Cloudflare Tunnel, además de implementar medidas de mitigación en servicios relacionados.
Jackson también afirmó que los certificados están bloqueados en Chrome desde el sábado, en los dispositivos Apple desde el lunes y en las plataformas de Microsoft desde el martes. En otras palabras, varios ecosistemas de confianza pasaron de identificar el problema a aplicar bloqueos en sus almacenes de confianza en cuestión de días.
Qué se sabe sobre la explotación y qué sigue siendo incierto
Jackson dijo que no hay pruebas de que Firefox, Chrome, Edge o Safari hayan sido atacados de esta manera en particular. Señaló que no hay registros en los registros de transparencia de certificados para los certificados intermedios desde abril de 2025.
Sin embargo, el ingeniero de Mozilla también advirtió que muchos clientes ajenos al ecosistema de navegadores no aplican la Transparencia de Certificados. Esto significa que la ausencia de registros no elimina por completo el riesgo: los atacantes aún podrían dirigirse a sistemas que dependen de otros métodos de validación.
En el mismo análisis del incidente, Jackson dijo que muchos clientes posteriores no aplican las mismas comprobaciones de transparencia y que «no sabemos si los atacantes aprovecharon la generación defectuosa de claves para atacar a estos clientes». Para las organizaciones, esto pone de relieve una asimetría habitual de la PKI: los navegadores pueden ofrecer mayores garantías, mientras que los clientes personalizados, los sistemas integrados y los componentes empresariales heredados quizá no las ofrezcan.
Lecciones de incidentes anteriores relacionados con autoridades de certificación
La respuesta al caso de eMudhra recuerda fallas históricas en los almacenes de confianza, sobre todo la brecha de DigiNotar de 2011. En ese caso, los atacantes vulneraron una autoridad de certificación y emitieron cientos de certificados SSL fraudulentos, lo que les permitió suplantar identidades y vigilar a los usuarios.
Aunque el incidente actual está relacionado con otro conjunto de certificados y tiene un origen distinto, la lección operativa es similar: cuando las claves de una autoridad de certificación se gestionan mal o se generan incorrectamente, los atacantes pueden llegar a crear certificados convincentes que eludan las defensas básicas.
El énfasis de Mozilla en los casos en que los bloqueos podrían no propagarse automáticamente es especialmente pertinente en entornos empresariales, donde los proxies internos, los clientes especializados y las pilas de aplicaciones privadas pueden comportarse de forma distinta a los navegadores más usados.
A continuación, los lectores deberían estar atentos a la confirmación de que los certificados bloqueados se hayan eliminado por completo de los almacenes de confianza de todos los principales clientes, así como a las recomendaciones sobre la exposición de los clientes que no son navegadores y que quizá no utilicen la Transparencia de Certificados. El problema a largo plazo afecta menos a los navegadores —donde ya se han aplicado medidas de mitigación en gran medida— y más a cualquier sistema que dependa de decisiones de confianza que no se actualizan automáticamente cuando se publican bloqueos de certificados.
Este artículo se publicó originalmente con el título «Los gigantes tecnológicos se movilizan para bloquear 8 certificados de eMudhra vinculados a sitios falsos» en Crypto Breaking News, tu fuente de confianza para noticias sobre criptomonedas, Bitcoin y novedades de la cadena de bloques.