Ocho claves privadas pertenecientes a eMudhra, una autoridad de certificación india, quedaron comprometidas después de que unos investigadores descubrieran que podían recuperarse de certificados públicos en menos de un segundo. Según se informó, las claves eran enteros diminutos, no valores aleatorios robustos. Los atacantes podrían utilizar las claves comprometidas de la autoridad de certificación para falsificar certificados de confianza y suplantar sitios web. No se han informado ataques contra usuarios.
Por qué importa
Las autoridades de certificación emiten certificados digitales que los navegadores utilizan para verificar sitios web. Una clave de firma comprometida puede socavar esa confianza al hacer que un certificado fraudulento parezca auténtico. Según The Register, eMudhra ha emitido más de 60 millones de certificados.
Los fabricantes de navegadores actuaron con rapidez: Mozilla y Chrome bloquearon los certificados el 17 de octubre, Apple hizo lo mismo el 19 de octubre y Microsoft, el 20 de octubre. eMudhra también los revocó. La causa señalada fue un error en el script de configuración de claves de la empresa, aunque los detalles exactos no están claros.
Impacto en el mercado
Los navegadores están en gran medida protegidos, pero las comprobaciones de revocación varían en otros programas. El investigador Scott Helme afirmó que sus pruebas mostraron que curl y programas que utilizan Python, Node, Go y Java aceptaban un certificado falsificado para la API de Stripe. Ya había correcciones para Go, el paquete certifi de Python y webpki-roots de Rust; en el momento al que se refiere la información, la de Node.js seguía pendiente.
Para las empresas cripto, el riesgo se concentra en sistemas ajenos a los navegadores. Los bots de exchanges, los scripts de trading y los sistemas de backend de los monederos que se conectan mediante software afectado podrían quedar expuestos a interceptaciones o a la manipulación del tráfico si un atacante logra situarse en la misma red. No se han informado ataques relacionados con las criptomonedas.
Preguntas frecuentes
-
¿Cómo se recuperaron las ocho claves privadas de eMudhra?
Los investigadores dijeron que las claves eran enteros diminutos, no valores aleatorios robustos. Scott Helme afirmó que recuperó las ocho de certificados públicos en menos de un segundo.
-
¿Qué podría hacer un atacante con las claves de certificado comprometidas?
Podrían utilizarse para falsificar certificados de apariencia auténtica y suplantar sitios web de confianza, lo que permitiría interceptar o modificar datos de los usuarios.
-
¿Qué fabricantes de navegadores bloquearon los certificados?
Mozilla y Chrome los bloquearon el 17 de octubre, Apple lo hizo el 19 y Microsoft, el 20. eMudhra también revocó los certificados.
-
¿Por qué algunos programas podrían seguir siendo vulnerables tras la revocación de un certificado?
Algunos programas no comprueban si se ha revocado un certificado, así que revocarlo podría no impedir que esas aplicaciones acepten uno falsificado.
-
¿Qué implica el incidente para los sistemas de trading de criptomonedas?
Los bots de exchanges, los scripts de trading y los sistemas de backend de los monederos podrían quedar expuestos si utilizan software afectado y un atacante puede interceptar su tráfico de red. No se han informado ataques relacionados con las criptomonedas.
CryptoSlate
WuBlockchain
Crypto News
CoinTelegraph
TheBlock