Qué pasó
El 17 de octubre un investigador avisó a Mozilla de que las claves privadas de ocho autoridades de certificación intermedias de eMudhra se habían generado con muy poca aleatoriedad. El investigador Scott Helme recuperó las ocho claves a partir de los certificados públicos en menos de un segundo. Sus valores eran 4, 56 y 115. Las claves se crearon en una ceremonia en abril de 2025. Seis autoridades eran para TLS y dos para firma de código.
Por qué importa
Quien conozca una de esas claves puede emitir certificados para cualquier sitio web, y los navegadores los darían por buenos. Es una base lista para interceptar tráfico.
Cómo reaccionó el sector
Google bloqueó los certificados en Chrome, Android y Chromebook sin necesidad de actualizar el navegador, y retira la raíz emSign ECC Root CA G3 de su almacén; el cambio llega a los dispositivos el 27 de octubre. Mozilla los bloqueó mediante OneCRL y Cloudflare activó medidas desde el 19 de octubre. Según Google, no aparecieron certificados TLS falsos coincidentes en los registros de Certificate Transparency, y eMudhra afirma que esas autoridades nunca emitieron certificados finales. Según Ars Technica, la empresa abandona el negocio de certificados TLS.
Qué conviene revisar
Unos 30.000 certificados legítimos tendrán que migrarse. Hay que mirar con atención pasarelas de pago, aplicaciones Java antiguas, clientes móviles y equipos de red, que a veces tienen su propio almacén de confianza sin actualizar.