Google retira un certificado raíz de eMudhra por claves débiles

El 27 de octubre, Google eliminó el certificado raíz emSign ECC Root CA – G3 de eMudhra del Chrome Root Store. Los sitios web que aún dependen de él muestran ahora a los usuarios de Chrome una advertencia de seguridad a pantalla completa.

La decisión sigue a un incidente de mediados de octubre en torno a eMudhra, con sede en Bangalore y la mayor autoridad de certificación con licencia de India. Un investigador demostró que las claves privadas de ocho autoridades de certificación de su jerarquía global eran tan débiles que cualquiera podía calcularlas.

Un fallo en la ceremonia de claves

Según la compañía, las ocho claves se crearon en una misma ceremonia el 30 de abril de 2025. Un defecto en el guion habría generado un segundo juego de claves débiles, usado por error porque sus etiquetas eran parecidas. Cada clave debía tener unos 116 dígitos; las ocho eran inferiores a 256. El fallo pasó inadvertido unos 18 meses y dos ciclos de auditoría. El cofundador Kaushik Srinivasan lo calificó de «un hecho aislado, un mal día». Se espera un informe del auditor en dos o tres semanas.

Tras el aviso del investigador el 17 de octubre, los fabricantes de navegadores actuaron en horas. Chrome bloqueó seis certificados mediante su lista CRLSet y Mozilla hizo lo propio en Firefox. Apple publicó parches para Safari el 19 de octubre y Microsoft para Edge el 20. Mozilla retiró la raíz G3 de su lista de confianza el 20 de octubre. Chrome indicó que ningún certificado de los seis intermedios había aparecido en los registros públicos de Certificate Transparency antes del bloqueo, por lo que no pudieron usarse contra él. Google también estudia si las raíces restantes de eMudhra deben seguir siendo de confianza.

Salida y responsabilidad

El 22 de octubre, eMudhra anunció que cerrará su negocio de certificados SSL/TLS y retirará las raíces G3 y G1. Según la empresa, esa línea aporta el 1 % de sus ingresos. Entre sus clientes había una federación universitaria de EE. UU. y organismos públicos y empresas fuera de ese país.

En India la respuesta fue más lenta: el Ministerio de TI creó un equipo especial y CERT-In emitió un aviso cuatro días después del primer informe. Queda por aclarar quién responsabiliza a una autoridad de certificación en India, qué normas pudieron incumplirse y qué sanciones cabrían. Cotizada desde 2022, eMudhra también emite firmas digitales para trámites de impuestos, GST, aduanas y derecho societario.