Resumen:
Apple bloqueó recientemente ocho certificados digitales con graves problemas de seguridad en dispositivos iOS y iPadOS para evitar que los atacantes utilicen estos certificados para disfrazarse de sitios web legítimos y luego llevar a cabo ataques de phishing, intermediarios o robar datos de los usuarios. Sin embargo, los investigadores de seguridad recuerdan que algunas herramientas del sistema macOS aún pueden confiar en estos certificados problemáticos, y que los usuarios y administradores del sistema de Mac aún deben prestar atención a las actualizaciones de seguridad posteriores.
Este incidente involucra ocho certificados intermedios emitidos por eMudhra, una autoridad certificadora india. Los certificados digitales son una parte importante del sistema de seguridad de Internet. Cuando un navegador accede a un sitio web, utilizará el certificado para verificar la identidad del servidor y proteger la transmisión de datos a través de conexiones cifradas HTTPS. Por ejemplo, cuando un usuario visita el sitio web de un banco, el navegador debe confirmar que la conexión es efectivamente con el servidor del banco y no con un sitio web falso creado por un atacante.
Normalmente, las autoridades certificadoras deben utilizar claves criptográficas que sean lo suficientemente fuertes como para emitir certificados y garantizar que terceros no autorizados no puedan falsificar la identidad de un sitio web confiable. Sin embargo, los investigadores de seguridad descubrieron que los ocho certificados involucrados en eMudhra tenían problemas de generación de claves extremadamente graves y sus claves privadas resultaron ser números enteros inferiores a 256. Esto significa que un atacante solo necesita probar una cantidad muy pequeña de valores posibles para tener la posibilidad de recuperar la clave privada relevante, casi sin necesidad de cálculos complejos.
Según la investigación de Mozilla, estas claves privadas son extremadamente fáciles de adivinar. Para la criptografía moderna, esta situación equivale a utilizar un número extremadamente simple como contraseña de cuenta, que es completamente incapaz de proporcionar una seguridad normal. Una vez que un atacante tiene las claves privadas relevantes, es posible falsificar otros certificados emitidos por estos certificados, haciendo que el software afectado piense erróneamente que la conexión es a un sitio web legítimo.
El peligro de este tipo de ataque es que el atacante no necesariamente tiene que comprometer directamente el servidor del sitio web objetivo. Si un certificado HTTPS confiable puede falsificarse y combinarse con la interceptación del tráfico de red y otros medios, un atacante puede hacerse pasar por un banco, una empresa u otro sitio web legítimo e inducir a los usuarios a enviar contraseñas, información de identidad u otros datos confidenciales sin su conocimiento. Los atacantes también pueden modificar el contenido de las páginas web recibidas por los usuarios para cometer fraude o difundir malware.
El problema relacionado se informó al equipo de seguridad del navegador el 17 de octubre de 2026. Posteriormente, Google, Mozilla y otros fabricantes tomaron medidas para evitar que se siguiera confiando en los certificados afectados. Mozilla distribuye información de protección a través del mecanismo de bloqueo de certificados OneCRL de Firefox. Por lo general, los usuarios no necesitan actualizar manualmente el navegador ni reiniciar el dispositivo para obtener la protección relevante. Google también actualizó el mecanismo de bloqueo de certificados de Chrome y tomó medidas restrictivas sobre los certificados relacionados.
Apple comenzó a implementar medidas de bloqueo relevantes el 19 de octubre. Según los investigadores de seguridad, estas medidas impiden que el software que depende del mecanismo de verificación de certificados del sistema de Apple confíe en los certificados afectados. Apple tomó medidas un poco más tarde que Google y Mozilla, pero ahora los certificados pertinentes están incluidos en el bloqueo.
Vale la pena señalar que no todos estos ocho certificados se utilizan para conexiones HTTPS de sitios web. Seis de ellos son certificados relacionados con TLS y los otros dos implican fines de firma de código. Los certificados de firma de código se utilizan para verificar la identidad del editor del software y si el software ha sido manipulado. Por lo tanto, los fallos graves en la clave privada del certificado también pueden tener un impacto en la distribución de software y en los sistemas de confianza.
Sin embargo, actualmente no hay evidencia de que los atacantes hayan utilizado estos certificados para llevar a cabo ataques reales. Los investigadores de seguridad señalaron que aunque los certificados en cuestión tienen graves fallas, no todos han sido utilizados en entornos de producción. Google también declaró que antes de tomar las medidas de bloqueo, no se encontraron certificados TLS emitidos por los seis certificados intermedios afectados e ingresados en los registros relevantes en los registros públicos de Transparencia de Certificados. Esto reduce en cierta medida el riesgo de abuso de certificados HTTPS públicos conocidos, pero no descarta por completo el impacto potencial en otro software o entornos no públicos.
Para los usuarios de Mac, la situación es un poco más complicada. Aunque Apple ha tomado medidas de bloqueo, el ingeniero de criptografía de Mozilla, Dennis Jackson, señaló que la herramienta de línea de comandos incorporada curl de macOS aún puede tener problemas de confianza. El conjunto de certificados utilizado por esta herramienta no verifica la información de revocación de los certificados relacionados, por lo que en algunos casos curl puede continuar aceptando certificados incluso si han sido declarados inválidos.
Esto significa que los scripts, las herramientas de desarrollo o los servicios automatizados que dependen del curl integrado de macOS para las solicitudes de red pueden necesitar verificar adicionalmente su propio comportamiento de verificación de certificados. Especialmente para los sistemas que han aceptado certificados relevantes, se debe prestar más atención a si las medidas de bloqueo de certificados realmente cubren el software y el mecanismo de almacenamiento de confianza utilizado.
Para los usuarios comunes, el enfoque más seguro es instalar rápidamente las actualizaciones de seguridad del sistema y del software proporcionadas por Apple y mantener el navegador con la última versión. Los administradores y desarrolladores empresariales deben verificar si los servidores, las herramientas de línea de comandos, las aplicaciones y los almacenes de certificados personalizados aún confían en los certificados afectados y seguir las recomendaciones de detección y mitigación proporcionadas por los investigadores de seguridad.
Este incidente también expuso un problema que fácilmente se pasa por alto en el sistema de certificados digitales: incluso si HTTPS utiliza un algoritmo de cifrado maduro, si la clave privada utilizada en el proceso de generación del certificado es demasiado simple, todo el sistema de verificación de identidad aún puede romperse fácilmente. La tecnología de cifrado en sí no falla. El verdadero problema radica en los enlaces de generación de claves y gestión de certificados.
eMudhra declaró que no hay evidencia de que su infraestructura haya sido comprometida y no se ha descubierto ninguna fuga de datos relevante. La agencia está trabajando con clientes potencialmente afectados para ayudar a reemplazar los certificados relevantes. Dado que estos certificados se generaron en abril de 2025 y el problema existe desde hace más de un año, las agencias pertinentes deben confirmar si otros software, sistemas o servicios han confiado en estos certificados para establecer relaciones de confianza.
En general, el bloqueo de estos ocho certificados por parte de Apple es un paso importante para frustrar posibles ataques, pero la revocación de certificados no significa que todo el software dejará de confiar inmediatamente en ellos. Para los usuarios comunes, la actualización oportuna de los sistemas y navegadores suele ser la medida de protección más directa; para desarrolladores y empresas, es necesario verificar más a fondo el mecanismo de verificación de certificados para garantizar que todas las aplicaciones relevantes puedan identificar correctamente los certificados caducados.
Comentarios