viernes, 30 de octubre de 202623°General Pico · 10° / 25°Dólar Oficial $1.560Dólar Blue $1.565Dólar MEP $1.568Dólar Tarjeta $2.028
Claves privadas filtradas de ocho certificados de CA permiten suplantar dominios
Una falla en certificados emitidos por la firma india eMudhra podría afectar a equipos y programas antiguos, que deberán actualizarse. Los navegadores con Certificate Transparency reducen el riesgo, según la fuente.
Redacción Pico Tecno
· Actualizada 22 de octubre de 2026 a las 15:00
2 min de lectura
(Hayden Soloviev / Wikimedia Commons · CC BY 4.0)
Según informó Tom's Hardware, se detectaron ocho certificados intermedios de autoridades certificadoras (CA) con claves privadas tan débiles que cualquiera podría deducirlas. El problema obliga a los administradores de sistemas de todo el mundo a actualizar una cantidad enorme de máquinas y aplicaciones.
El riesgo es considerable. Un atacante que esté en cualquier punto por el que pasa el tráfico de una red, como una empresa, un organismo estatal, una red Wi-Fi pública o un proveedor de internet, podría interceptar una conexión y hacerse pasar por casi cualquier sitio web, como un banco o una tienda online. Si el sistema no está actualizado, no detectaría el engaño. Además, con los certificados de firma de código, un programa malicioso podría presentarse como software legítimo de grandes compañías.
Cómo funciona la cadena de confianza
Para comprobar que un certificado es legítimo, el software verifica una cadena de certificados. Un sitio web recibe su certificado de una autoridad intermedia, que a su vez está respaldada por certificados raíz. Las claves de esos certificados raíz se guardan sin conexión a internet, con medidas de seguridad física muy estrictas. Los sistemas operativos y muchas aplicaciones mantienen listas de certificados de confianza, y los navegadores también cuentan con listas de certificados revocados que no deben aceptarse. Esas listas se actualizan periódicamente, y en este caso deberán modificarse de nuevo.
De acuerdo con el reporte, la empresa india eMudhra emitió seis certificados intermedios para TLS, que cifran las conexiones web, y dos para firma de código. Sus claves privadas tenían apenas 1 byte, lo que equivale a un número entre 0 y 255. Con una cantidad tan reducida de posibilidades, un atacante podría probarlas todas en muy poco tiempo. Todavía se investiga cómo ocurrió este error.
Hay un aspecto que atenúa el impacto. Las versiones recientes de Chrome, Brave, Firefox y Safari aplican Certificate Transparency, un mecanismo que consulta un registro público de certificados emitidos y bloquea los que no aparecen en él. Google informó que no se registró ningún certificado firmado por las seis autoridades intermedias afectadas. Por eso, quien solo navegue de forma habitual estaría en una situación más segura, aunque la recomendación es revisar y actualizar todo el software.
La tarea de actualización es muy extensa. Incluye computadoras, servidores, sistemas operativos, teléfonos, tabletas, routers, navegadores y aplicaciones basadas en ellos, máquinas virtuales, contenedores como Docker, lenguajes de programación como Python, Go, Node.js o Rust, y utilidades de descarga como curl. Los routers antiguos, los dispositivos inteligentes y las computadoras viejas podrían representar un problema a más largo plazo, ya que no siempre reciben actualizaciones.
