Ocho claves de la certificadora eMudhra fueron crackeadas por un error básico: usaban números como 4 y 56

Ocho claves privadas de una autoridad de certificación quedaron al descubierto por un error que parece sacado de otra época. La empresa india eMudhra, conocida por su marca emSign, vio cómo ocho de sus claves privadas de certificados intermedios fueron crackeadas debido a que se generaron con enteros extremadamente débiles, valores como 4, 56 o 115, en lugar de números aleatorios de 384 bits como exige la práctica correcta.

El hallazgo fue reportado el 17 de octubre de 2026 por el investigador conocido como 'Wayne', y la reacción de los grandes navegadores fue inmediata. Chrome recibió el reporte a las 18:05 UTC del sábado y bloqueó los certificados apenas una hora y cuarenta minutos después, a las 19:45 UTC; Mozilla completó su bloqueo mediante OneCRL a las 22:59 UTC del mismo día. Apple tomó medidas el 19 de octubre y Microsoft cerró la fila el 20.

El riesgo era serio: con esas claves comprometidas, un atacante posicionado en la red podría suplantar prácticamente cualquier sitio web, leyendo o alterando el tráfico cifrado de los usuarios sin que estos lo notaran.

Hasta ahora nadie ha confirmado una explotación real de la falla, pero los especialistas advierten que el mayor peligro no está en los navegadores ya actualizados, sino en el software fuera de ellos, como aplicaciones en Python, Node, Go o Java, que muchas veces no verifican las listas de revocación de certificados.

Un recordatorio incómodo de que incluso la infraestructura que garantiza la confianza en internet puede fallar por lo más básico.