eMudhra: un script de Python defectuoso debilitó claves privadas
Según el informe de incidente de eMudhra, un script propio en Python truncó las claves privadas de ocho certificados intermedios, una de ellas a un solo byte.
SUMO· el puzle de números
Dialo· aprende idiomas hablando
ediviewer· lee archivos EDI como documentos
giftdetect· el regalo adecuado en minutosUn script de Python defectuoso, escrito por los propios ingenieros de eMudhra, debilitó las claves privadas de ocho certificados intermedios y redujo una de ellas a un solo byte. Lo indicó la autoridad de certificación india en su informe completo del incidente, publicado el martes 10 de noviembre.
El script envolvía cada clave en un bloque cifrado para trasladarla a módulos de seguridad de hardware (HSM) en sus sedes de EE. UU. y la UE, y la desenvolvía en destino. Un error hizo que la clave desenvuelta se leyera mal desde la memoria del host, lo que truncó sus valores. Las claves quedaron muy por debajo de la fortaleza aceptada de 384 bits. Un investigador independiente con el alias «Wayne» las reconstruyó hace casi un mes: la más pequeña era «4» y la mayor «237».
Nuevas revocaciones y causas
El informe revela por primera vez que eMudhra revocó el 7 de noviembre ocho pares de claves RSA adicionales. El 19 de octubre la empresa había afirmado que los emisores RSA no estaban afectados. El script no acortó esas claves, pero sus atributos privados estuvieron en la memoria volátil de un proceso de Python, y la compañía no pudo demostrar que se manejaran conforme a sus propias reglas.
Los certificados afectados fueron seis TLS y dos de firma de código. De 195 certificados de entidad final listados, 130 los emitió la ya revocada EM DV TLS CA – G2C, con dominios de universidades, un condado y la propia eMudhra. La empresa sostiene que las claves originales se generaron correctamente en la ceremonia del 30 de abril de 2025 y que los HSM no tienen la culpa: señala al script y a controles de proceso deficientes.
Según explicó, el traslado fue algo puntual: retrasos en el envío de hardware, un cambio de política de los programas raíz desde el 15 de junio de 2025 y un plazo de certificación cruzada con Sectigo obligaban a generar las claves antes de finales de mayo de 2025.
Por qué importa
Un atacante con esas claves podría emitir certificados fraudulentos para dominios que no controla y facilitar ataques de intermediario, advirtió el CERT-In de la India el 21 de octubre. Google, Microsoft, Apple y Mozilla bloquearon los ocho certificados intermedios, y Cloudflare y otras empresas lanzaron actualizaciones. eMudhra anunció después que abandona el negocio mundial de certificados digitales para centrarse en firma digital y autenticación en la India.
Apps que merecen la pena
SUMO: el puzle de númerosToca las casillas correctas, suma y alcanza el objetivo. Fácil de aprender, difícil de dominar. Gratis, para todas las edades.
Dialo: aprende idiomas hablandoConversa con un compañero de IA; cada frase vuelve corregida y explicada en tu idioma. 9 idiomas, de A1 a C2.
ediviewer: lee archivos EDI como documentosAbre mensajes EDIFACT y X12, cada segmento explicado, conversión a JSON/XML, exportación a PDF y Excel. Funciona en local, sin subir nada.
giftdetect: el regalo adecuado en minutosElige para quién es, la ocasión y su personalidad. El buscador lee las descripciones de tiendas locales y ordena lo que encaja. Gratis, sin registro.
Más de este día
Ver todas →
Helsing presenta Clarity, plataforma de IA para análisis militar
Gaurav Munjal deja de ser CEO de Unacademy tras la compra de upGrad
CERT-In pide a los usuarios de Chrome en India actualizar el navegador
