eMudhra, la autoridad certificadora que emitió ocho certificados TLS intermedios con claves privadas tan débiles que cualquiera podría generar certificados para cualquier sitio web, ha decidido salir del negocio de TLS. V. Srinivasan, presidente de eMudhra Limited, mencionó que los costos y las complejidades crecientes de los requisitos de cumplimiento, junto con el hecho de que este negocio generaba solo el 1% de sus ingresos, llevaron a esta decisión.
Recientemente, investigadores revelaron que eMudhra había emitido certificados con claves privadas que eran triviales de descubrir. Cualquiera que dedicara unos pocos milisegundos podría crackearlas y generar certificados TLS que serían confiables por todos los navegadores principales, así como por una cantidad indeterminada de servidores de correo electrónico y dispositivos IoT.
Las claves privadas de los certificados comprometidos tenían tamaños que variaban entre 3 y 8 bits, en comparación con los 384 bits que deberían tener según los estándares de criptografía. Esto significa que, mientras que se esperaban 2^384 posibilidades de claves, las más fuertes de las claves defectuosas tenían un máximo de solo 256.
Los fabricantes de navegadores bloquearon los certificados emitidos con las claves intermedias en uno o dos días tras su descubrimiento. eMudhra enfrentaba la posibilidad de que su estatus como autoridad certificadora fuera revocado por el CA/Browser Forum, un grupo de la industria que establece reglas para la admisión en el programa de certificados TLS.
La compañía explicó que los certificados fueron creados en una ceremonia de generación de claves el 30 de abril de 2025, utilizando módulos de seguridad de hardware (HSM) de nivel 3. Un defecto en el proceso de generación de claves causó que se produjera un segundo conjunto de claves débiles junto a las originales. Actualmente, eMudhra está trabajando para establecer la causa raíz de este problema.
Comentarios