eMudhra abandona el negocio global de certificados SSL/TLS tras su fallo de claves débiles

eMudhra, la autoridad de certificación india detrás de los parches de emergencia de los navegadores esta semana, abandona el negocio que los provocó. Su consejo decidió «retirarse voluntariamente del negocio global de certificados SSL/TLS», informó la empresa el 22 de octubre de 2026. Sus otros servicios de confianza digital, como las firmas electrónicas, siguen funcionando.

La decisión llega cinco días después del aviso de que las claves de ocho certificados intermedios de eMudhra estaban expuestas. Los navegadores bloquearon esos certificados en pocas horas, y Go, Firefox, NSS y certifi de Python publicaron correcciones. Un certificado intermedio se sitúa entre la raíz de una autoridad de certificación (CA) y los certificados de sitios web que firma. Por eso, con una clave intermedia filtrada, un atacante puede crear certificados para cualquier dominio.

Por qué se retira eMudhra

En el comunicado de eMudhra, V. Srinivasan, que preside eMudhra, dice que el negocio global de SSL/TLS aporta alrededor del 1 % de los ingresos globales de la empresa. El comunicado señala las crecientes exigencias de soberanía de datos y de cumplimiento, que hacen el negocio más complejo y costoso cada año. Además, algunos grandes proveedores emiten certificados gratis. Según el comunicado, todo ello ha reducido la rentabilidad de esta línea de negocio.

eMudhra dio la misma explicación a CyberScoop. «Para muchas autoridades de certificación, el SSL/TLS es todo el negocio», dijo la empresa. «Para eMudhra es una parte de una cartera de soluciones digitales mucho más amplia». Según CyberScoop, Srinivasan también consideró que las críticas en redes sociales eran desproporcionadas para el tamaño de la unidad.

La versión de eMudhra sobre el fallo de las claves

eMudhra dice que revocó las CA afectadas en las 14 horas siguientes al descubrimiento. Afirma que de ellas nunca se emitió ningún certificado de entidad final, los que los clientes usan de verdad. Asegura que su infraestructura no se vio comprometida y que no hubo fuga de datos.

Cyber Security News resume la primera explicación de la empresa. En una ceremonia de generación de claves el 30 de abril de 2025, un script defectuoso usado en un paso de empaquetado y desempaquetado de claves creó un segundo juego de claves débiles. Como las etiquetas de las claves se parecían, el personal usó las claves débiles en lugar de las fuertes. eMudhra ha prometido un informe completo sobre la causa, pero no ha dicho cuándo.

Nadie sabe todavía si alguien abusó de las claves. La agencia india de ciberseguridad, CERT-In, dijo el 21 de octubre que los informes públicos no habían confirmado ningún uso malicioso. Según CyberScoop, las autoridades indias han abierto una investigación y las acciones de eMudhra cayeron alrededor de un 40 % en los dos días posteriores a la divulgación.

Qué pasa con los certificados existentes

Según Cyber Security News, las raíces G1 RSA de eMudhra seguirán dando servicio a los clientes durante la transición. Los clientes recibirán certificados de sustitución a través de socios, sin coste. Los servicios de revocación y de estado seguirán activos hasta que cada certificado caduque o se sustituya. El medio cifra en unos 30.000 los certificados que deben migrar.

Aún faltan varios detalles. eMudhra no ha nombrado a sus socios ni ha fijado una fecha de fin para la transición.

Los navegadores tampoco esperan. Google y Mozilla se preparan para retirar la confianza en la raíz emSign ECC Root CA - G3, que firmó los intermedios débiles. CERT-In prevé que el cambio en el almacén de raíces de Chrome llegue a los dispositivos el 27 de octubre. CyberScoop añade que Google también está revisando la raíz restante de eMudhra.

Qué significa para los desarrolladores

Si tienes un certificado de eMudhra, planifica el cambio ahora y no en su fecha de caducidad.

• Localiza cada certificado de eMudhra y emSign del que dependes. Revisa el emisor en tus sitios públicos, balanceadores de carga, servicios internos y endpoints de proveedores. Los registros de Certificate Transparency incluyen cada certificado público emitido para tus dominios.
• Sustituye pronto. Las raíces G1 RSA funcionan hoy, pero Google está revisando la raíz restante de eMudhra. Si un navegador retira una raíz, todos los certificados que dependen de ella fallan de golpe para sus usuarios.
• Pide los detalles de la sustitución por escrito. Pregunta qué CA asociada emitirá tu sustituto gratuito y prueba la nueva cadena en cada cliente que soportes antes de cambiar.
• Pregunta aparte por la firma de código. Dos de los ocho intermedios débiles firmaban software. El anuncio de eMudhra se refiere al SSL/TLS y no dice qué pasará con sus certificados de firma de código.
• Mantén al día tus almacenes de confianza. Los parches de los navegadores de esta semana no llegan a los binarios de Go, a los entornos de Python ni a las imágenes de contenedores hasta que los actualices y los vuelvas a compilar.