La empresa eMudhra, una autoridad de certificación (Certificate Authority), ha anunciado su decisión de retirarse por completo del mercado global de certificados de capa de sockets seguros (SSL/TLS). Esta decisión se produce pocos días después de que investigadores de seguridad revelaran una vulnerabilidad crítica en ocho certificados intermedios emitidos por la empresa, cuyas claves de cifrado eran tan increíblemente débiles que las hacían vulnerables a ataques en fracciones de segundo.
Detalles de la vulnerabilidad
Según los informes técnicos, las claves de cifrado (ECC) emitidas por la empresa debían tener un alto nivel de complejidad (384 bits), sin embargo, la potencia de las claves descubiertas oscilaba entre solo 3 y 8 bits. Esto significa que el número de posibilidades para las claves era extremadamente pequeño, lo que permitía a cualquier parte crear certificados web confiables para cualquier sitio o servidor de correo electrónico, lo cual representa una grave amenaza de seguridad para la infraestructura de Internet.
¿Por qué es importante esta noticia?
La gravedad de este incidente radica en que los certificados emitidos por eMudhra contaban con la confianza de los principales navegadores y sistemas operativos. Una vez descubierta la vulnerabilidad, las empresas de navegadores se vieron obligadas a bloquear estos certificados de inmediato. Sin embargo, los dispositivos integrados (IoT), los contenedores de Docker y los sistemas antiguos que no reciben actualizaciones periódicas siguen estando en riesgo durante largos periodos, ya que es posible que no puedan actualizar sus listas de certificados de confianza.
Errores humanos y técnicos en la "ceremonia de generación de claves"
eMudhra explicó que el fallo ocurrió durante la "ceremonia de generación de claves" (Key Generation Ceremony) en abril de 2025. La empresa señaló la existencia de un error en el software utilizado que provocó la creación de dos grupos de claves: uno fuerte y otro débil. Debido a un error humano en la asignación de etiquetas, se utilizaron las claves débiles para emitir los certificados y publicarlos en los almacenes raíz (Root Stores). La empresa también admitió que intentó volver a firmar las listas de revocación de certificados (CRL) utilizando las claves defectuosas tras el fallo en la firma con las claves originales, sin realizar una investigación exhaustiva sobre la causa del fallo.
Motivos de la retirada
El presidente del consejo de administración de la empresa, V. Srinivasan, justificó la decisión de retirarse debido al aumento de los costes de cumplimiento normativo, el bajo retorno de la inversión dada la proliferación de certificados gratuitos, además de la presión mediática y el intenso escrutinio que siguió al incidente, lo cual la empresa calificó como "desproporcionado" con respecto al volumen de esta actividad en su cartera de negocios.