Escándalo: una empresa generó mal sus claves privadas y cualquiera podía copiarlas
Una autoridad certificadora generó mal las claves de ocho certificados y cualquiera podía recuperarlas. Los navegadores ya los bloquearon, pero ojo con tu compu.
Imaginate que el cerrajero que certifica que tu casa es tuya hizo las llaves de forma que cualquiera podía copiarlas mirando la cerradura. Bueno, eso le pasó a eMudhra.
Qué pasó
- Se comprometieron las claves privadas de ocho certificados intermedios de eMudhra, una autoridad certificadora (las que garantizan que un sitio es quien dice ser). Con cualquiera de ellas, un atacante podía hacerse pasar por cualquier sitio o servicio.
- La empresa generó mal esas claves: cualquiera podía recuperarlas a partir de los propios certificados, y eso era posible desde abril de 2025.
- Firefox y Chrome los bloquean desde el 17 de octubre, Apple desde el 19 y Microsoft desde el 20. Los navegadores que exigen Certificate Transparency (un registro público de certificados) no pudieron ser atacados. Pero en macOS, curl, git o python3 siguen usando una lista sin actualizar, y no se sabe si alguien lo aprovechó.
¿Y esto qué?
Toda la seguridad de internet descansa en la fe de que alguien, en algún lado, generó bien un número secreto. Durante meses la llave estuvo abajo del felpudo, y no sabemos si alguien pasó a buscarla. Actualizá el navegador y el sistema, y después tomate un té de tilo.
¿Cuánto confiás ahora en el candadito del navegador?
¿Conocés a alguien que tiene que leer esto?