🛡 VULNERABILIDADES 🛡

Gigantes tecnológicos bloquean certificados de eMudhra vinculados a 8 claves comprometidas

⏰21 de octubre de 2026🛡CyberObservatorio

Idioma

◢ VULNERABILIDADES ◣

Gigantes tecnológicos bloquean certificados de eMudhra vinculados a 8 claves comprometidas

⟫ 20/10/2026 ⟫ Jai Vijayan

Fuente: Dark Reading

**El Compromiso de eMudhra: Un Nuevo Desafío para la Confianza Digital**

En un mundo cada vez más interconectado, donde la confianza digital es fundamental para el funcionamiento de Internet, la reciente vulnerabilidad relacionada con la autoridad de certificación (CA) india eMudhra ha generado una ola de preocupaciones entre usuarios y empresas. Google, Mozilla y Apple han tomado medidas drásticas para bloquear certificados firmados con ocho claves comprometidas de eMudhra, una acción que tiene implicaciones significativas para la seguridad en línea global. Esta situación no solo afecta a los usuarios finales, sino que también plantea preguntas críticas sobre la seguridad de la infraestructura de datos y la confianza en los servicios en línea.

Los certificados afectados estaban vinculados a certificados intermedios emitidos por eMudhra, de los cuales seis eran utilizados para emitir certificados TLS para sitios web, mientras que los otros dos se empleaban para la firma de código. Esta vulnerabilidad permite a los atacantes impersonar cualquier sitio web legítimo o servicio, lo que podría resultar en un robo de datos y en la interceptación de comunicaciones cifradas, un riesgo que se vuelve cada vez más alarmante en un contexto donde las violaciones de datos son cada vez más comunes.

Las medidas de bloqueo implementadas por Google, Mozilla y Apple buscan prevenir que navegadores y aplicaciones confíen en certificados digitales fraudulentos que los atacantes podrían emitir utilizando las claves comprometidas. Sin embargo, es importante señalar que estas protecciones no se aplican automáticamente a todos los usuarios y aplicaciones. Si bien Mozilla, Google y Apple han distribuido bloqueos a través de sus respectivos mecanismos de revocación de certificados, las aplicaciones construidas con el lenguaje de programación Go deben ser recompiladas utilizando versiones corregidas para recibir la solución. Esto implica que otros softwares también podrían necesitar actualizaciones, dependiendo de cómo gestionen la confianza en los certificados.

Una de las cuestiones más inquietantes es si los atacantes ya han utilizado las claves comprometidas para emitir certificados fraudulentos. Google ha afirmado que sus protecciones de Transparencia de Certificados habrían impedido que los certificados TLS afectados fueran confiables por defecto en Chrome antes de que se implementaran los bloqueos. Por su parte, Mozilla ha indicado que los usuarios con configuraciones estándar de Firefox recibieron el bloque sin necesidad de actualizar o reiniciar el navegador. Los mantenedores del proyecto Go han recomendado encarecidamente actualizar a las versiones corregidas 1.27.3 y 1.26.10 de inmediato.

eMudhra es una empresa con sede en India que proporciona servicios de identidad digital, firma electrónica e infraestructura de clave pública (PKI). Sus servicios incluyen la emisión de certificados digitales para autenticar sitios web, firmar documentos electrónicos, verificar identidades digitales y asegurar transacciones en línea. En este contexto, la revocación de los certificados intermedios comprometidos por eMudhra marca un paso crucial hacia la mitigación del problema. Dennis Jackson, miembro del equipo de ingeniería de criptografía de Mozilla, ha mantenido una cronología del incidente y ha confirmado que eMudhra ha revocado los certificados intermedios comprometidos. "Esto ya ha sido remediado por Mozilla, Microsoft, Apple y Chrome para sus usuarios a través de sus herramientas de distribución de información de revocación como OneCRL, CRLite y CRLSets", escribió Jackson. Sin embargo, muchos otros clientes no consumen esta información de revocación y requieren actualizaciones de software para asegurar que ya no confían en los intermedios comprometidos.

Por el momento, no hay detalles disponibles sobre cómo o cuándo ocurrió el compromiso de eMudhra. Según Jackson, Mozilla fue alertada sobre el incidente el 17 de octubre por un investigador que se identificó únicamente como Wayne. Este investigador demostró tener acceso a las claves privadas asociadas con las ocho autoridades de certificados intermedios al utilizar cada clave para crear una firma digital en el mismo mensaje corto: "Tenemos un problema aquí - Wayne".

En menos de tres horas, Mozilla completó el proceso de bloqueo de los certificados comprometidos. "La lista centralizada de certificados revocados de Mozilla, que introdujimos en 2015, OneCRL, nos permite ofrecer esta protección sin requerir que los usuarios actualicen o reinicien Firefox", comentó Jackson. Desde entonces, Mozilla ha estado colaborando con eMudhra y otros programas raíz y operadores de almacenes de confianza para investigar la causa raíz, divulgar el incidente de manera responsable y ayudar a proteger el ecosistema más amplio. Actualmente, Mozilla no tiene evidencia de que otras CAs hayan sido afectadas de manera similar.

Un miembro del equipo del Programa Raíz de Google Chrome también compartió que recibió noticias sobre el compromiso al mismo tiempo que Mozilla y que abordó el problema en menos de dos horas. "Tras el bloqueo inicial, evaluamos todos los demás certificados de CA en el límite de confianza del Almacén Raíz de Chrome y no encontramos otras instancias de este modo de fallo", escribió el miembro del equipo de Chrome. "También estamos trabajando con los mantenedores de software de registros de CT y operadores de registros para rechazar los certificados encadenados a estas CA intermedias comprometidas en el futuro, para prevenir riesgos al ecosistema de CT".

Por su parte, los mantenedores del proyecto Go no identificaron a eMudhra por su nombre, sino que simplemente mencionaron sus planes de bloquear la confianza "en un pequeño conjunto de certificados intermedios" debido a una preocupación de seguridad operacional no especificada.

Para las organizaciones que buscan evaluar su exposición, los certificados afectados incluyen seis intermedios TLS: EM DV TLS CA, EM OV TLS CA y EM EV TLS CA, cada uno con variantes G3B y G3C, emitidos bajo emSign Root TLS CA - G3. También se incluyen dos intermedios de firma de código, EM OV CS CA - G3B y EM OV CS CA - G3C, emitidos bajo emSign Root CS CA - G3.

Históricamente, los compromisos y errores relacionados con las autoridades de certificación han llevado a los fabricantes de navegadores a revocar la confianza en certificados digitales en varias ocasiones. En 2011, una violación en la CA holandesa DigiNotar tuvo consecuencias devastadoras. En 2017, Google, Mozilla y otros fabricantes de navegadores se opusieron a la crónica mala emisión de certificados por parte de Symantec, lo que culminó en la venta de su negocio de CA a DigiCert. Más recientemente, en 2025, Google anunció que dejaría de confiar en certificados de Chungwa y Netlock, debido a preocupaciones sobre la integridad de sus operaciones.

La situación con eMudhra subraya la fragilidad de la confianza digital y resalta la necesidad de una vigilancia continua y de protocolos de seguridad robustos dentro del ecosistema de certificados digitales. A medida que la tecnología avanza, la seguridad debe ser una prioridad, no solo para las empresas y organizaciones, sino también para los usuarios que dependen de la integridad de los servicios en línea.

◢ VULNERABILIDADES ◣

Tech Giants Block eMudhra Certificates Tied to 8 Compromised Keys

⟫ 20/10/2026 ⟫ Jai Vijayan

Source: Dark Reading

Google, Mozilla, Apple, and the Go programming language project blocked certificates signed with eight compromisedcertificate authority(CA) keys in a widening response to an incident that could allow attackers to impersonate any legitimate website or service. The affected keys were associated with intermediate certificates issued by Indian CA eMudhra. Six were used to issue TLS certificates for websites while the other two were used for code signing. The blocks are designed to prevent browsers and applications from trusting fraudulentdigital certificatesthat attackers might issue using the compromised keys, reducing the risk of website impersonation and the potential interception of encrypted communications. However, the protections do not automatically extend to all users and applications. Mozilla, Google, and Apple have distributed blocks through their respective certificate-revocation mechanisms, while applications built with Go must be rebuilt usingpatched versionsto receive the fix. Other software may also require updates, depending on how they manage certificate trust. What remains unclear is whether attackers might have already used the compromised keys to issuefraudulent certificates. Google said its Certificate Transparency protections would have prevented affected TLS certificates from being trusted by default in Chrome before the blocks took effect. Mozilla, meanwhile, said users with standard Firefox configurations received its block without needing to update or restart the browser. Go project maintainers said they "highly recommend" upgrading immediately to patched Go versions 1.27.3 and 1.26.10. eMudhra is an India-based company that provides digital identity, electronic signature, andpublic key infrastructure(PKI) services. The company's services include issuing digital certificates to authenticate websites, electronic document signing, digital identity verification, and securing online transactions. Dennis Jackson, a member of Mozilla's cryptography engineering team who is maintaining atimeline of the incident,described eMudhra as having revoked the compromised intermediate certificates. "This has already been remediated by Mozilla, Microsoft, Apple, and Chrome for their users through their tools for distributing revocation information such asOneCRL,CRLiteandCRLSets," he wrote. "However, many other clients do not consume revocation information and require software updates to ensure they no longer trust the compromised intermediates." Jackson recommended that users update their operating systems and browsers to the most recent versions as quickly as possible. For the moment, at least, no details are available on how the eMudhra compromise happened, or when. According to Jackson, Mozillafirst learned of the compromiseon Oct. 17 from a researcher who identified themselves only as Wayne. The researcherdemonstratedthat he had access to the private keys associated with all eight intermediate certificate authorities by using each key to create a digital signature on the same short message: "We have a problem here - Wayne.” Mozilla completed the process of blocking the compromised certificates about three hours later. "Mozilla's centralized list of revoked certificates which we introduced in 2015. OneCRL allows us to deliver this protection without requiring users to update or even restart Firefox," Jackson said. Since then, Mozilla has been working with eMudhra "other root programs and downstream trust store operators to investigate the root cause, responsibly disclose the incident and help protect the wider ecosystem." Currently, Mozilla has no evidence that other CAs might have been similarly impacted he added. Posting in the same group, a member of Google Chrome's Root Program Team described receiving news of the compromise around the same time that Mozilla did and addressing the issue in less than two hours. "Following the initial block, we evaluated all other CA certificates in the Chrome Root Store trust boundary and found no other instances of this failure mode," the Chrome team member wrote, "We are also working with CT log software maintainers and log operators to reject certificates chaining to these compromised intermediate CAs going forward to prevent risk to the CT ecosystem." Maintainers of the Go project, meanwhile, did not identify eMudhra by name. Instead, they merely noted their plans to block trust "in a small set of intermediate certificates" because of an unspecified operational security concern. For organizations seeking to assess their exposure, theaffected certificatesinclude six TLS intermediates — EM DV TLS CA, EM OV TLS CA, and EM EV TLS CA, each with G3B and G3C variants — issued under emSign Root TLS CA - G3. The affected certificates also include two code-signing intermediates, EM OV CS CA - G3B and EM OV CS CA - G3C, issued under emSign Root CS CA - G3. Compromises and errors involving certificate authorities have repeatedly forced browser makers to revoke trust in digital certificates over the years, In 2011, a breach at Dutch CADigiNotar. In 2017, Google, Mozilla, and other browser makerstook issuewith Symantec's chronic mis-issuance of certificates and moved to revoked in the CA; the dispute ended with Symantec eventuallyselling its CA businessto DigiCert later that year. More recently, in 2025, Google announced it would no longer trust certificates fromChungwa and Netlock, over concerns about the integrity of their operations.

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD