Ocho bits de confianza: las claves de CA de eMudhra se rompieron en milisegundos
Una importante autoridad de certificación india, eMudhra, fue descubierta generando varias claves privadas de CA de curva elíptica con efectivamente solo 8 bits de entropía, incluida una con el valor “4”, lo que permitía romperlas en milisegundos a partir de sus certificados públicos. Los comentaristas exploran cómo esto pudo colarse por las auditorías y llegar a los almacenes de confianza de los navegadores, qué revela sobre la fragilidad del modelo de autoridades de certificación de la web y los límites de medidas como Certificate Transparency. También subrayan el largo impacto en dispositivos IoT y embebidos no parcheables, que pueden quedar trivialmente vulnerables a ataques de intermediario HTTPS —o ser jailbreakeados oportunistamente— hasta que se actualicen sus almacenes de confianza o se retiren los dispositivos.
Causa de las claves débiles
- Los comentaristas diseccionan el informe de error de Mozilla: eMudhra culpa a una desviación del “script KGC” usado para envolver/desenvolver claves ECC para exportación.
- Al parecer, se generó un segundo par de claves mucho más débil debido a un fallo de código, y unas etiquetas de clave confusamente similares llevaron a los operadores a usar las claves equivocadas para CSRs y cross-signing.
- Varios consideran alarmante que el HSM o la herramienta de ceremonia pudieran generar claves siquiera dentro de un rango tan pequeño; ven las capacidades de “prueba/clave débil” como un defecto de diseño fundamental.
Malicia vs. incompetencia
- Muchos sostienen que esto es negligencia grave o “estupidez avanzada”, no malicia: si ya controlas la CA, no necesitas una clave débil para abusar de ella.
- Otros señalan que una debilidad deliberada podría proporcionar negación plausible, pero la mayoría sigue considerando más plausible la explicación de “error + procedimientos descuidados”.
Problemas sistémicos de CA y auditoría
- Hay un fuerte sentimiento de que el ecosistema de CA está demasiado confiado y poco verificado: cientos de raíces y miles de intermedias, pero sin pruebas básicas de entropía/unidad para las claves de CA.
- Las auditorías son criticadas como ejercicios de marcar casillas que pueden pasar por alto fallos triviales como claves de 8 bits.
- Algunos sugieren que este incidente debería implicar el fin de la empresa; otros señalan que muchas CAs están “heredadas” y que los requisitos políticos o al estilo eIDAS hacen poco probable una poda drástica.
Impacto y mitigación
- Consejo inmediato: actualizar los paquetes de CA del sistema operativo, los runtimes de lenguaje y recompilar las imágenes de contenedores; señalar que Flatpak y algunos runtimes pueden seguir distribuyendo sus propios almacenes.
- Gran preocupación por dispositivos no parcheables o rara vez actualizados (routers, TVs, impresoras, IoT, almacenes de claves de Java embebidos) que confiarán en estas intermedias hasta 2039.
Descubrimiento y búsqueda de otras claves débiles
- Según se informa, las claves débiles se encontraron ejecutando paranoid_crypto de Google sobre certificados de CCADB; un análisis posterior de ese corpus no encontró casos similares.
- Varios proponen comprobaciones automatizadas más amplias (“entropía de código de equipaje”) en todas las raíces/intermedias, incluso para claves truncadas o sembradas con marcas de tiempo.
Debates sobre alternativas a PKI
- Largos subhilos debaten reemplazar o restringir las CAs mediante DNSSEC/DANE, restricciones de nombre, o firmas de contenido y grafos de confianza controlados por el usuario.
- Los contraargumentos subrayan fallos de despliegue (DNSSEC), problemas políticos/de control con los operadores de TLD, la usabilidad para no expertos y la persistencia de clientes heredados.
IoT y uso oportunista
- Varias personas ya están usando las claves CA rotas para hacer MITM del tráfico y hacer jailbreak a dispositivos cerrados (altavoces inteligentes, electrodomésticos, hardware ESP32).
- Este aspecto de doble uso se ve tanto como una rara “ventaja” como un serio riesgo para la confidencialidad mientras los dispositivos sigan sin parchear.