El caso de las claves casi en blanco le ha costado a eMudhra todo un negocio. La autoridad de certificación india anunció el 22 de octubre que se retira del negocio mundial de certificados SSL/TLS, los que dan el candado de las webs con HTTPS, cinco días después de que un investigador descubriera que ocho de sus claves privadas eran casi todo ceros. La empresa asegura que esa actividad solo suponía alrededor del 1 % de sus ingresos, y culpa en parte a la repercusión del caso en las redes sociales.
Como contamos ayer, ocho certificados intermedios de eMudhra, de confianza para navegadores y sistemas operativos, tenían claves que eran números menores que 256 y se podían recuperar en un instante. Con ellas, cualquiera podría haber fabricado certificados falsos para cualquier web. El fallo llevaba 18 meses ahí, y desde el 17 de octubre Firefox, Chrome, Apple, Microsoft, Java, Node.js, Python y Go han tenido que retirarles la confianza.
eMudhra no es una empresa pequeña: cotiza en las bolsas indias, trabaja en más de 35 países y en India ofrece servicios de firma digital muy usados. Pero en los certificados de HTTPS compite con gigantes y con Let’s Encrypt, que los da gratis, y tras el incidente su consejo ha decidido que no le compensa seguir.
Claves de la retirada de eMudhra
- Lo que anuncia: el consejo de administración ha decidido «retirarse voluntariamente» del negocio mundial de certificados SSL/TLS para centrarse en sus soluciones para empresas y en sus otros servicios de confianza digital.
- Sus razones: según su presidente, V. Srinivasan, el negocio era cerca del 1 % de sus ingresos, cada vez es más caro y complejo por las exigencias de soberanía de datos y de cumplimiento normativo, y compite con grandes entidades que regalan los certificados. A eso suma que «la amplificación en las redes sociales» del incidente ha traído un escrutinio «desproporcionado» para el peso que tiene en la empresa.
- Su versión del incidente: insiste en que revocó los certificados afectados en las 14 horas siguientes al descubrimiento, que ninguno llegó a emitir certificados para webs, que su infraestructura no fue comprometida y que no hubo robo de datos.
- Qué pasa con sus clientes: sus raíces G1, de claves RSA, seguirán funcionando durante la transición, y eMudhra se pondrá en contacto con los clientes afectados para sustituirles los certificados gratis a través de socios. En su página de estado ya ofrece a todos sus clientes certificados emitidos por Sectigo. Mantendrá los servicios de revocación hasta que caduque o se sustituya el último certificado.
- Lo que no cambia: sus servicios de firma digital y eSign, en India y en el resto del mundo, y sus productos para empresas (emCA, CertiNext, emSigner, SecurePass) funcionan con una infraestructura separada y no se ven afectados.
Retirarse no cierra el caso
La salida no libera a eMudhra de sus compromisos: la propia empresa reconoce que tiene que entregar a los programas de confianza de los navegadores un informe completo de lo que pasó. Y en el informe público del incidente, en el Bugzilla de Mozilla, la retirada no ha calmado las preguntas. Varios participantes recuerdan que un módulo de seguridad de hardware certificado no debería generar por sí solo una clave tan débil, así que, o alguien le dio ese valor, o la clave se importó desde fuera. Piden el guion de la ceremonia de generación de claves, el informe del auditor o la grabación, y el modelo y el firmware de esos módulos. Otros quieren saber qué socios emitirán los certificados de sustitución, cuántos hay que sustituir y en qué plazo, y que la empresa aclare algunas diferencias entre las fechas de su página de estado y las del informe.
Para el resto de la industria, la pregunta es otra: si un fallo así pasó dos auditorías y lo encontró en minutos una sola persona, según eMudhra con ayuda de herramientas de IA, cuántas claves más merecen una segunda mirada. eMudhra se va, pero su caso servirá de ejemplo para todas las autoridades que se quedan.
Más fuentes: página de estado del incidente de eMudhra (actualización del 22 de octubre sobre los certificados de Sectigo) e informe público del incidente en el Bugzilla de Mozilla. Portada: logotipo de eMudhra y esquema de decodigo.com.
Fuente: eMudhra, «eMudhra to exit global SSL/TLS certificate business», 22 de octubre de 2026