eMudhra anunció el 22 de octubre de 2026 que abandonará el negocio global de certificados SSL/TLS, después de que se comprometieran las claves privadas de ocho autoridades certificadoras intermedias. La firma india dejará una actividad que, según su comunicado, aporta alrededor del 1 % de sus ingresos. El retiro llega mientras los proveedores de software eliminan la confianza en los certificados afectados para impedir la suplantación de sitios web.
V. Srinivasan, presidente de eMudhra, citó el aumento de costos y la competencia de servicios gratuitos entre los motivos de la salida. La empresa sostuvo que su infraestructura no sufrió una intrusión y que no hubo filtración de datos. También aseguró que sus otros servicios de firma digital operan por separado y continúan funcionando.
Las ocho claves comprometidas podían autorizar otros certificados
El expediente público de Mozilla distingue seis certificados intermedios para TLS y dos para firma de código. Las autoridades intermedias de TLS firman los certificados que identifican sitios web. Recuperar sus claves permite crear certificados falsos que los programas que aún confían en ellas pueden aceptar.
Ars Technica detalló que los valores de las claves privadas cabían en apenas 3 a 8 bits, aunque correspondían a criptografía de curva elíptica P-384. Mozilla documentó que sus ingenieros recuperaron las claves por su cuenta el 17 de octubre, sin conocer el método del investigador que alertó del problema.
Para aprovechar ese fallo contra una conexión, el atacante también tendría que poder interceptarla, explicó Mozilla. El compromiso de las claves crea esa posibilidad de suplantación, pero no equivale por sí mismo a demostrar que se interceptó tráfico de usuarios.
En el expediente, eMudhra situó el origen del problema en su procedimiento de generación de claves del 30 de abril de 2025. La empresa atribuyó el uso de las claves débiles a errores de código y de operación, y se comprometió a entregar un informe completo.
La retirada de una raíz también afecta a certificados legítimos
Chrome y Firefox distribuyeron bloqueos contra los certificados afectados desde el 17 de octubre. Google explicó que, antes de su bloqueo, no había certificados TLS de esas seis autoridades registrados en Certificate Transparency, el sistema de registros públicos de emisión. Esa observación acota el riesgo para los clientes que exigen esos registros, como Chrome.
El siguiente paso alcanza a una jerarquía mayor. Google anunció la eliminación de emSign ECC Root CA - G3 de la lista de raíces de confianza de Chrome, prevista para la mañana del 27 de octubre de 2026, horario del Pacífico de Estados Unidos. Al dejar de aceptar esa raíz, algunos certificados legítimos también dejarán de funcionar.
En la discusión de Mozilla, eMudhra calculó inicialmente que unos 30,000 certificados necesitarían migrar. La cifra corresponde al alcance de la retirada de confianza en esa raíz, que también afecta a certificados emitidos por otras autoridades intermedias de la misma jerarquía.
La protección fuera del navegador requiere revisar cómo valida cada aplicación sus conexiones. Cloudflare explica que esa tarea puede depender de una biblioteca, del sistema operativo o de una configuración propia. Por eso recomienda actualizar las dependencias pertinentes y reconstruir los contenedores afectados; actualizar solo un componente de la aplicación puede dejar intacta la confianza en las claves comprometidas.
Para la transición, eMudhra promete reemplazos gratuitos a través de socios y mantener los servicios de revocación y estado hasta que los certificados emitidos expiren o hayan sido sustituidos. Sus raíces G1 RSA seguirán atendiendo a los clientes mientras completa ese proceso, según el comunicado.
Patricia Rodriguez
