Ocho certificados TLS comprometidos en la autoridad certificadora india eMudhra
Investigadores identificaron ocho certificados comprometidos vinculados a eMudhra. Una de las claves privadas era el número 4, un valor descifrable en milisegundos.
Una investigación reveló ocho certificados TLS comprometidos asociados a eMudhra, una autoridad certificadora con sede en India. El hallazgo implica que claves privadas que deberían permanecer bajo custodia estricta quedaron expuestas.
El detalle más llamativo es la debilidad de una de esas claves: su valor era literalmente el número 4. Con un espacio de búsqueda tan pequeño, cualquier intento de descifrado se resuelve en milisegundos y sin necesidad de recursos especializados.
El impacto potencial de una clave de autoridad certificadora comprometida es alto: permite firmar certificados fraudulentos, suplantar sitios y servicios, y romper la confianza que hace funcionar HTTPS sin que el navegador muestre advertencia alguna. Por eso este tipo de incidente suele desencadenar revocaciones en cadena y revisiones de las listas de confianza que manejan sistemas operativos y navegadores.
La lección práctica para quienes construyen software es revisar de qué autoridades certificadoras dependen sus productos y sus flujos internos, y mantener actualizadas las cadenas de confianza. La seguridad de TLS no depende solo del servidor propio, sino de cada eslabón que se acepta como válido.
Fuente: The Register / Ars Technica.