Este sitio web que está leyendo no estaba protegido por uno de los famosos certificados digitales de eMudhra y tal vez por eso toda esta historia me suena a cachondeo pero es que no puedo con mi vida desde que me he enterado que una de las claves para atacar a miles de sitios protegidos por el famosos https, bancos, por ejemplo ¡¡¡era el número 4!!!
Hay empresas de seguridad que pierden la reputación por un ataque sofisticado y otras consiguen arruinarla con una torpeza tan elemental que cuesta creerla. eMudhra pertenece al segundo grupo: una de las claves privadas de sus autoridades certificadoras intermedias era el número 4. El investigador Scott Helme comprobó que podía recuperar las ocho claves afectadas desde los certificados públicos en menos de un segundo, más o menos lo que tardas en pillar una gastroenteritis después de comerte un pastel relleno de cosa naranja en un puesto de comida callejera en Nueva Delhi. Para una compañía dedicada a vender confianza digital, el espectáculo resulta difícilmente superable.
Conviene precisar qué significa ese cuatro. No era la contraseña de un empleado despistado ni el código de una cuenta de correo electrónico. Era el valor matemático secreto utilizado por una autoridad intermedia para firmar certificados y quien lo conociera podía producir firmas con esa identidad. La gravedad se entiende sin estudiar criptografía: imagina que puedes entrar a todos los bancos y administraciones públicas con un certificado digital a nombre de quien tu quieras. ¿Qué tal el Banco Santander? ¿Y la Moncloa?
Las ocho claves eran números inferiores a 256. El sistema empleado, basado en la curva elíptica P-384, permite elegir entre una cantidad inmensa de valores. Sin embargo, aquí bastaba recorrer un conjunto diminuto de candidatos. El algoritmo no había quedado obsoleto: el proceso había producido claves absurdamente débiles. Un mecanismo matemático sólido sirve de poco cuando lo alimentas con secretos que caben en una ficha de dominó.
La explicación preliminar aportada por eMudhra describe una cadena de errores. Durante la generación de las claves se introdujo una operación de envoltura y desenvoltura criptográfica. Un fallo del código produjo otro conjunto de claves débiles. Después se seleccionaron esas claves por equivocación porque sus etiquetas se parecían a las correctas. Las solicitudes correspondientes también se enviaron a Sectigo para obtener certificación cruzada. Así se extendió el alcance de una chapuza por unos controles de seguridad tan eficientes como la depuradora del rio Ganges.
Hubo además una señal de alarma especialmente incómoda: según reconoció la empresa en el seguimiento público del incidente, unas listas de revocación se firmaron inicialmente con las claves originales, de esas de docenas de caracteres y sumamente complicadas del tipo sMA~{#t+ku2|]c|%uO\RbXWoO}RKREEq5VrzAyd3g@w1Qz^1.ALc%zL!.K6;4s$*|&.X)_»7Np;JT+. Como las firmas no correspondían a los certificados publicados, se volvieron a firmar con las claves defectuosas: 4, 56, 66, 115, 155, 156, 230 y 237. La pregunta resulta inevitable: ¿estaba la seguridad de medio Internet a cargo de un becario de FP1 recién llegado de un poblado de las profundidades de la India?
eMudhra sostiene que utilizó módulos de seguridad certificados y que el defecto permaneció inadvertido durante aproximadamente dieciocho meses, atravesando dos ciclos de auditoría. Eso obliga a mirar más allá del programador que cometió el error. Una organización profesional necesita comprobaciones capaces de detectar equivocaciones humanas. Si todo depende de que nadie confunda dos etiquetas, los procedimientos ofrecen una tranquilidad bastante ornamental. Tener buenos equipos no sustituye a utilizarlos bien.
El riesgo tampoco se limitaba a los clientes de eMudhra. Google explicó que las claves comprometidas permitían falsificar certificados HTTPS para suplantar cualquier sitio ante clientes que conservaran aquella confianza. Eso no equivale a afirmar que cualquiera pudiera leer automáticamente todo el tráfico de internet: hacía falta un escenario de ataque adecuado. Pero una autoridad certificadora puede poner en peligro a usuarios que jamás han comprado sus servicios ni conocen su nombre.
También hay que distinguir el peligro que ha corrido Internet de los daños realmente demostrados o al menos conocidos. Google indicó que no había certificados TLS de esas autoridades intermedias registrados en Certificate Transparency antes del bloqueo. Por eso, los certificados fraudulentos no habrían podido utilizarse contra clientes que exigieran esa transparencia, incluido Chrome en su configuración habitual. La defensa pierde fuerza si te pide que demuestres los perjuicios. El que la bala sólo te haya rozado el pelo no hace que el disparo no sea peligroso.
La reparación movilizó a terceros. Mozilla bloqueó los certificados afectados y distribuyó versiones de Firefox para proteger también configuraciones que no recibieran las actualizaciones habituales de su lista de revocación. Otros programas y dispositivos podían seguir expuestos mientras mantuvieran la confianza comprometida. El NHS británico recomendó revisar dependencias y aplicar las actualizaciones pertinentes. La factura operativa incluye trabajo de administradores, desarrolladores y responsables de seguridad que tuvieron que ocuparse de un problema ajeno.
El desenlace es la retirada de eMudhra del negocio de certificados TLS de confianza pública. A 28 de octubre de 2026, la empresa describe una salida progresiva: mantiene temporalmente la emisión mediante G1 para facilitar la migración. También cifra en unos 30.800 los certificados de las jerarquías G3 afectadas pertenecientes a un ecosistema estadounidense. No ha cerrado toda la compañía: sus servicios de firma digital y otras aplicaciones continúan. Está por ver quién es el valiente que sigue confiando en estos artistas.
Yo no salgo de mi asombro pensando que si un grupo de hackers llega a enterarse de esto antes de que se hubiera hecho público podrían haber generado miles de sitios y suplantar a bancos, agencias tributarias, bolsas de valores y todo tipo de servicios donde se maneja dinero a paladas y haber hecho un roto de dimensiones siderales en Internet porque un cipollo no ha visto problema en que la clave de un emisor de certificados sea un simple 4, no la famosa 1234, no, sólo el 4.
Entre esto y el ingeniero de la NASA que falló en 200.000 km con una nave espacial y la mandó fuera del Sistema Solar porque haciendo las cuentas confundió millas y kilómetros, está claro que donde estamos las personas, pasan cosas. 😀
