Resumen:
Tras la revelación en octubre de que las claves privadas de ocho certificados de CA intermedia se podían deducir fácilmente, la Autoridad de Certificación Digital de la India, eMudhra, anunció recientemente la revocación de ocho certificados de CA intermedia más basados en el algoritmo RSA. Estos certificados provienen del mismo proceso de generación de claves que los certificados ECDSA anteriormente problemáticos, y hubo irregularidades en el manejo de las claves privadas.
La secuencia de comandos incorrecta afecta a ambos conjuntos de claves de certificado:
La investigación reveló que el incidente se originó a partir de una operación de generación de claves el 30 de abril de 2025, cuando eMudhra generó 16 conjuntos de certificados intermedios y claves para infraestructura en diferentes regiones. El proceso utilizó un script Python escrito por la empresa para manejar la migración entre módulos de seguridad de hardware de distintos proveedores.
El módulo de seguridad inicialmente generó la clave correctamente, pero el script escrito por la empresa retuvo solo el primer byte de la clave privada al volver a leer y crear el objeto de clave ECDSA. Como resultado, los valores de los ocho conjuntos de claves privadas ECDSA son todos inferiores a 256, lo que se puede deducir fácilmente de la información pública, y estas claves débiles también se utilizan para generar solicitudes de certificados.
Ocho conjuntos adicionales de claves RSA4096 permanecen intactos, pero el material de la clave privada también ingresa a la memoria del proceso Python host al volver a importar. Este modo de operación no cumple con los requisitos de CA/Browser Forum con respecto a la transferencia de clave privada de CA, por lo que estos certificados también deben revocarse, y eMudhra marca estos certificados RSA no como clave comprometida, sino como descontinuados.
Se produjeron anomalías en mayo de 2025 pero no se prestó atención:
La investigación también mostró que eMudhra encontró anomalías entre mayo y junio de 2025: las listas de revocación de certificados correspondientes a algunos certificados intermedios ECDSA no pasaron la verificación de firma. La investigación reveló que la causa de la anomalía fue que el certificado intermedio utilizaba una clave débil recreada por un script, mientras que la lista de revocación original todavía estaba firmada por la clave original.
eMudhra resolvió el problema de verificación cambiando el objeto clave utilizado para la firma, pero no analizó cuidadosamente la causa específica del error. Si se realizara una investigación en profundidad en ese momento, sería fácil encontrar que la clave del certificado de producción en línea tenía solo 1 carácter4.
eMudhra ha decidido abandonar el negocio de los certificados TLS:
Después de este incidente de seguridad, eMudhra decidió dejar de operar el negocio de certificados TLS debido a la baja proporción de ingresos de este negocio y al daño a la reputación de la empresa causado por el incidente de seguridad. Se puede ver que a esta empresa de Caotai no le preocupa su impacto en Internet global. Simplemente siente que es mejor detener este negocio sin ganar dinero y afectar su reputación.
Actualmente, todos los principales navegadores han dejado de confiar en los ocho certificados ECDSA revocados originalmente por eMudhra. Sin embargo, es posible que las herramientas de línea de comandos relevantes no se actualicen o no verifiquen la configuración de revocación de certificados de forma predeterminada. Algunos sistemas y firmware antiguos no pueden actualizar los certificados. Estos dispositivos todavía se ven afectados por las claves débiles de eMudhra y pueden ser secuestrados por intermediarios.
Artículos relacionados:
eMudhra se retira del negocio global de certificados SSL/TLS después de un escándalo impactante
Los entusiastas utilizan los certificados filtrados de eMudhra para emitir 106.000 certificados para Google, que pueden pasar la certificación de clave pública de CA
Google acusa al eMudhra de la India de retrasar la publicación del informe del accidente. Sus empleados dicen que la atención de las redes sociales dificulta que la empresa realice investigaciones
Comentarios