eMudhra atribuyó a un error en un script de Python la emisión de certificados para autoridades intermedias cuyas claves privadas podían reconstruirse con información pública. En su informe en Bugzilla, la empresa explicó que el fallo ocurrió después de generar las claves en hardware especializado, cuando un procedimiento de importación leyó una versión truncada del valor privado.
Cómo se debilitó una clave de 48 bytes
Según el informe, el 30 de abril de 2025 se generaron 16 pares de claves para autoridades emisoras subordinadas de las series B y C. El problema de fortaleza afectó a ocho claves ECDSA P-384, cuyo valor privado debía ocupar hasta 48 bytes. The Register informó que los valores afectados podían representarse con un solo byte. Uno de ellos era el número 4.
La empresa explicó que, ante dificultades para conseguir los módulos de seguridad de hardware que quería usar, generó las claves con equipos de Utimaco y preparó su transferencia a módulos de Crypto4A. Los cambios en los requisitos sobre la procedencia de los certificados imponían un plazo a finales de mayo. Según eMudhra, el script se ejecutó en una máquina aislada y era independiente del producto emCA.
Por qué pasó los controles
Las claves débiles todavía podían producir firmas válidas y los certificados pasaban las comprobaciones de formato. El proceso carecía de una prueba de fortaleza de la clave y de una comparación entre la clave originalmente generada y la que terminó certificada. Según el informe, cualquiera de esas dos comprobaciones habría detectado el problema. Un tercero reportó el fallo en octubre de 2026 y los responsables de los programas de confianza pudieron reproducirlo.
Qué implicaba para los navegadores
Una autoridad intermedia puede firmar certificados para otros sitios. Si alguien reconstruye su clave privada, podría emitir certificados fraudulentos para suplantar servidores ante sistemas que todavía confíen en esa autoridad. En determinadas condiciones, eso abriría la puerta a observar o modificar tráfico. El reporte describe esas consecuencias como riesgos posibles.
Los navegadores tomaron medidas para retirar la confianza y eMudhra anunció su salida del negocio de certificación pública SSL/TLS. Entre las medidas de cierre, la empresa dijo que incorporará mejoras a sus operaciones de infraestructura de clave pública a partir de una revisión independiente.
Para más noticias de tecnología, cultura geek, gadgets y entretenimiento, visita: GeekAndLife.com.mx
Descubre más contenido en nuestras redes: Instagram | YouTube | TikTok
Fuente: The Register