Las Autoridades de Certificación permiten emitir certificados SSL/TLS para cualquier web. Si la clave privada de estas CA se ve comprometida (se pierden o se hackean), se podrían emitir certificados falsos para posteriormente interceptar y descifrar todas las comunicaciones, por lo que supone un verdadero riesgo para la seguridad y privacidad de los usuarios. Se ha descubierto que han hackeado un total de ocho certificados de CA intermedios a eMudhra Limited, una empresa de India que ha cometido una grave negligencia a la hora de crear estos certificados, porque han usado una forma de generación de las claves totalmente inseguro. Si quieres saber si tu navegador ya ha revocado esta CA intermedia, a continuación, tenéis todos los detalles.
¿Qué ha ocurrido?
Las claves privadas de un total de ocho certificados CA intermedios de eMudhra han sido comprometidos; el problema es que estas claves están vinculadas a certificados raíz de confianza en los navegadores web de Firefox y Chrome, así como también en los almacenes de confianza de Microsoft y Apple, entre otros muchos softwares que usan estos certificados raíces para su correcto funcionamiento.
Hay que tener presente que esta CA intermedia es la más grande de India, tiene alrededor de 600-850 empleados y genera unos 70 millones de dólares anuales. Su único objetivo es ser la plataforma de firma digital y servicios de confianza, y han fallado de la forma más grave posible.
El principal problema radica en que, para la generación de las claves de esos certificados, no usan números aleatorios de una longitud segura, sino que era un simple número aleatorio entre el 1 y el 256, esto significa que un PC podría romper esa clave en menos de un segundo, ya que no son 256 bits, sino simplemente 256 combinaciones. Generalmente se usa criptografía de curva elíptica que cumpla con NIST P-384, la cual contiene 384 bits de entropía, para que sea muy difícil romperla. Los tamaños de claves privadas comprometidas tenían tan solo entre 3 y 8 bits, claramente insuficiente y que permitiría su hackeo en segundos.
Consecuencias
El problema es que cualquier usuario podría generar nuevos certificados para cualquier web y aplicaciones de confianza, para posteriormente descifrar todo el tráfico fácilmente. En países donde hay cierta censura, esto supone un riesgo añadido muy importante, ya que el propio país podría generar nuevos certificados para espiar a sus ciudadanos.
Un investigador de seguridad apodado como «Wayne» avisó con un mensaje que indicaba «We have a problem here – Wayne» y firmado con las claves privadas de las ocho CA mencionadas anteriormente, para demostrar que, efectivamente, habían sido vulneradas.
Ahora mismo la propia CA ha revocado todos los certificados intermedios comprometidos, pero muchos clientes que no usen la información de revocación todavía son vulnerables, y es posible que requieran actualizaciones de software.
¿Qué debo hacer para estar protegido?
Los programas de CA raíces y almacenes de confianza secundarios han recibido la correspondiente actualización para proteger a los usuarios, ahora mismo los certificados están bloqueados en Firefox y Chrome desde el 17 de octubre de 2026, en dispositivos Apple desde el 19 de octubre de 2026, y en equipos de Microsoft desde ayer 20 de octubre de 2026. El problema se comunicó de forma responsable a las entidades de confianza el 19 de octubre de 2026. Aunque la mayoría del software ya está actualizado todavía hay software que está en proceso de hacerlo.
Los certificados de CA de las principales distribuciones de Linux también están parcheados:
- Certificados CA de Ubuntu: todas las versiones con soporte están parcheadas, la 22.04, 24.04, 26.04 y 26.10.
- Certificados CA de Debian: la versión 12 y 13 están parcheadas.
- Certificados de Arch Linux, Gentoo, Fedora, Alpine Linux
- Certificados de CA de software como NSS, CURL, Go, Python, Pip y mucho más.
Puedes comprobar todas las versiones de software parcheadas en la web de emudhra.
Cómo comprobar si estoy protegido
Si entras en la web de emudhra.we-have-a-problem.com deberías ver una tabla con los certificados de la empresa afectados, y una indicación de «No se conectó», indicando que nuestro navegador web es seguro y se ha revocado todo correctamente. Si tienes algún certificado que sí se ha conectado, deberías tener cuidado al navegar porque todavía no estás del todo seguro.
Si quieres comprobar si estás seguro a través de la línea de comandos, como la que puedes usar en un servidor vía SSH, entonces puedes probar esto:
curl https://dv-g3b-emudhra.we-have-a-problem.com/
curl https://dv-g3b-aaa-emudhra.we-have-a-problem.com/
Si te sale un error de certificados, eso significa que el cliente no confía en los certificados intermedios comprometidos, lo que es buena noticia. Si confía, entonces deberías actualizar el almacén de certificados y tener mucha precaución. Otra forma de verificar si no eres vulnerable es que entres a la web de dv-g3b-emudhra.we-have-a-problem.com, si te sale un error de certificado significa que sí estás protegido, y ya se ha actualizado todo el software por detrás.
Si eres vulnerable, nuestra recomendación es que revises las actualizaciones de los navegadores web y también de las aplicaciones que usen certificados intermedios, vigila durante unos días si hay nuevas versiones para solucionar este grave problema.