Seguridad · 24 de octubre de 2026
También publicado en Português (Brasil), ไทย, हिन्दी, Deutsch, Italiano
Una falla de seguridad crítica por claves privadas débiles pone en alerta a Internet
Una vulnerabilidad de seguridad grave ha comprometido la infraestructura de confianza de Internet debido al uso de claves privadas extremadamente débiles por parte de una autoridad de certificación. La empresa afectada, eMudhra, generó ocho claves privadas con valores numéricos tan bajos que podían ser descubiertas casi instantáneamente, lo que permitió la creación potencial de certificados falsos para suplantar la identidad de sitios web legítimos. Este incidente ha obligado a los principales desarrolladores de navegadores y sistemas operativos a bloquear urgentemente los certificados comprometidos para proteger a los usuarios de posibles ataques de intermediario.
La naturaleza del problema radica en que las claves privadas, que deberían ser números aleatorios enormes e imposibles de adivinar, eran simplemente valores enteros menores a doscientos cincuenta y seis. Específicamente, una de las claves era el número cuatro, mientras que las otras siete eran cincuenta y seis, sesenta y seis, ciento quince, ciento cincuenta y cinco, ciento cincuenta y seis, doscientos treinta y doscientos treinta y siete. Un investigador de seguridad, identificado como Wayne, demostró esta vulnerabilidad firmando digitalmente un mensaje con cada una de las ocho claves comprometidas, probando que cualquiera podía recuperar las claves secretas a partir de los certificados públicos disponibles. El sistema criptográfico utilizado, conocido como P trescientos ochenta y cuatro, ofrece un espacio de claves vasto, pero la implementación defectuosa redujo este espacio a un conjunto trivialmente pequeño.
Los navegadores Chrome y Firefox actuaron con rapidez para mitigar el riesgo, bloqueando los certificados afectados el diecisiete de octubre de dos mil veintiséis. Mozilla informó que distribuyó la protección a los usuarios de Firefox en menos de tres horas sin requerir un reinicio del navegador. Posteriormente, las medidas de bloqueo se desplegaron en dispositivos Apple el diecinueve de octubre y en plataformas Microsoft el veinte de octubre. Sin embargo, la respuesta no es uniforme en todo el ecosistema de software, ya que muchas otras aplicaciones e infraestructuras que no dependen directamente de las listas de certificados de los navegadores principales siguen estando expuestas hasta que se apliquen parches específicos.
El riesgo para los usuarios consiste en que un atacante podría interceptar una conexión y presentar un certificado falso firmado con estas claves débiles, haciendo que una aplicación vulnerable confíe en un servidor malicioso pensando que es el legítimo. Si esto ocurriera, el atacante podría leer o modificar los datos transmitidos, incluyendo información personal. Es importante destacar que los algoritmos de cifrado en sí mismos no fueron rotos; la falla reside exclusivamente en la verificación de la identidad del servidor. La posesión de estas claves no otorga acceso automático a las cuentas, pero facilita enormemente la suplantación si se combina con la capacidad de interceptar el tráfico de red.
Aunque no se ha confirmado ninguna explotación maliciosa activa hasta el momento, Google señaló que ningún certificado de capa de transporte seguro asociado a las seis autoridades intermedias comprometidas había sido registrado en los registros públicos de transparencia antes del bloqueo. Esto limitaba su utilidad contra navegadores que exigen dicha verificación, pero no descarta ataques contra sistemas que no realizan esta comprobación. Un experto criptógrafo sugirió que la tarea de corregir este problema podría ser más extensa que la de fallas anteriores debido a la gran diversidad de sistemas y herramientas olvidadas que deben ser actualizadas manualmente.
La empresa eMudhra, con sede en la India, ofreció una explicación preliminar indicando que un error en su programa de generación de claves produjo un segundo conjunto de claves más débiles, las cuales fueron utilizadas por mistake debido a etiquetas similares en sus sistemas internos. Seis de los certificados comprometidos estaban destinados a conexiones seguras, mientras que dos se utilizaban para la firma de software. Los administradores de sistemas y usuarios finales reciben la recomendación de actualizar inmediatamente sus navegadores, sistemas operativos y aplicaciones, así como verificar manualmente cualquier software o equipo que no reciba actualizaciones automáticas para asegurar que no confíe en los certificados revocados.