India ordena investigar la falla de certificados de eMudhra mientras los navegadores bloquean las claves débiles

El Ministerio de Electrónica y Tecnología de la Información de India creó un equipo especial para investigar un incidente de seguridad en eMudhra, el proveedor de certificados con sede en Bengaluru, después de que ocho de sus claves de certificados intermedios resultaran peligrosamente débiles. El ministerio anunció la investigación en una serie de publicaciones en X el miércoles 21 de octubre y dijo que había tomado el incidente con seriedad.

Las claves débiles están dentro del sistema que la web usa para probar que un sitio es lo que dice ser. Una autoridad de certificación verifica identidades y emite certificados digitales. Los navegadores confían en esos certificados para establecer conexiones HTTPS seguras. Si un atacante obtiene una clave privada débil, puede crear certificados fraudulentos e imitar sitios legítimos, advirtieron los investigadores.

Cómo ocurrió la falla

eMudhra dijo que un paso de su procedimiento de generación de claves produjo un segundo conjunto de claves, débil, junto a las claves fuertes. Las claves se generaron el 30 de abril de 2025 y el conjunto débil se publicó en los almacenes raíz de los navegadores, donde pasó inadvertido durante unos 18 meses. La empresa dijo que su clave privada raíz no fue comprometida, que su infraestructura no fue vulnerada y que no se tomaron datos de clientes.

La falla salió a la luz el 17 de octubre, cuando un investigador alertó a Apple, Google, Microsoft y Mozilla de que las claves privadas vinculadas a los ocho certificados podían ser objeto de ingeniería inversa, posiblemente con técnicas asistidas por IA. CERT-In, el equipo de respuesta a emergencias informáticas de India, dijo que los ocho certificados afectados incluyen seis certificados TLS y dos de firma de código. Los certificados TLS protegen las conexiones entre sitios web, navegadores y aplicaciones. Los de firma de código avalan el software.

Los navegadores actúan y el ministerio marca un límite

Google bloqueó las claves afectadas y dijo que Chrome retirará la raíz asociada, emSign ECC Root CA - G3, de su almacén de confianza a partir del 27 de octubre. Mozilla bloqueó los certificados en Firefox en menos de tres horas tras recibir el aviso. Los operadores de navegadores retiraron la confianza en la raíz como precaución y CERT-In emitió un aviso con pasos para limitar el daño. El aviso advierte que retirar la raíz puede dejar sin confianza a algunos certificados legítimos, lo que podría afectar a sitios y servicios.

El ministerio fue claro sobre lo que el incidente no toca. Dijo que el caso se refiere solo al negocio internacional de seguridad web de eMudhra, que opera bajo un marco global de confianza y auditorías separadas. Los certificados de firma digital y los servicios eSign regulados en India funcionan en sistemas separados y siguen completamente sin afectación, dijo el ministerio. Calificó el impacto en sitios y aplicaciones de India como muy limitado y breve, y advirtió contra el alarmismo en redes sociales.

eMudhra dijo que ninguna de las ocho autoridades intermedias afectadas emitió certificados para usuarios finales. Nombró un ecosistema de clientes afectado en Estados Unidos, donde los certificados se están reemplazando. El negocio global de TLS en el centro del caso representa cerca del 1 por ciento de los ingresos de la empresa, dijo. La empresa revisa sus procedimientos de generación de claves y ofrece a los clientes empresariales certificados de una autoridad adicional. También dijo que aún no ha confirmado la causa exacta y que la publicará completa cuando termine su propia investigación. Se esperan más detalles cuando informe el equipo del ministerio.