Mozilla y Google bloquearon ocho certificados digitales que podían falsificar cualquier sitio web

Mozilla y Google bloquearon ocho certificados digitales de la empresa india eMudhra después de que un investigador anónimo, identificado solo como Wayne, demostró que podía falsificar la identidad de cualquier sitio de internet.

Los certificados digitales son las credenciales que permiten a un navegador confirmar que una página es quien dice ser y cifrar el tráfico mediante el protocolo HTTPS .

Quien controla la clave privada de uno de esos certificados puede hacerse pasar por cualquier sitio web.

Seis de los ocho certificados comprometidos se usan para asegurar conexiones web y los otros dos para firmar programas de software.

Todos están respaldados por los programas de confianza de Mozilla, Microsoft, Apple y Google , de los que dependen la mayoría de los navegadores y sistemas operativos del mundo.

El problema no estuvo en el cifrado sino en cómo eMudhra generó las claves.

Una clave de ese tipo debería tener alrededor de 384 bits de aleatoriedad, miles de billones de combinaciones posibles.

Las ocho claves filtradas tenían apenas entre tres y ocho bits, lo que las hacía recuperables en segundos.

Un ingeniero de Mozilla recuperó las ocho claves por su cuenta en menos de dos horas, sin conocer el método del primer reportante, y confirmó así que la falla era real.

Otros investigadores le pidieron a asistentes de inteligencia artificial que resolvieran el problema como si fuera un desafío de seguridad informática, y lo lograron en el primer intento.

Un error que recuerda al desastre de Heartbleed Filippo Valsorda, ingeniero de criptografía y uno de los mantenedores del lenguaje de programación Go, le dijo a Ars Technica que la limpieza sería “más grande que Heartbleed” , la falla de 2014 que tardó años en repararse por completo.

Según explicó, el problema ahora se repetirá en dispositivos de internet de las cosas, contenedores de software y computadoras con Linux que nadie actualiza, sistemas mucho más difíciles de alcanzar que un navegador.

El riesgo mayor es para quienes usan redes privadas virtuales, conocidas como VPN, y para las personas que viven bajo gobiernos dispuestos a interceptar el tráfico de internet.

Aplicaciones como Signal y WhatsApp no dependen de estos certificados para proteger sus mensajes , por lo que no están expuestas.