coindesk.com
Internet ha estado apresurándose para reparar una vulnerabilidad en el sistema que indica a su navegador qué sitios web son auténticos.
Comenzó el 17 de octubre, cuando un investigador informó a los fabricantes de navegadores que ocho claves secretas en eMudhra, una empresa india que certifica sitios web, han sido comprometidas.
Un investigador llamado Wayne reportó la falla de seguridad y, para demostrar la vulnerabilidad, utilizó las ocho llaves comprometidas para firmar digitalmente su mensaje de advertencia: «Tenemos un problema aquí – Wayne.»
Los fabricantes de navegadores y los desarrolladores de software han lanzado correcciones de emergencia desde entonces.
Cuando un usuario visita un sitio web, su navegador verifica un certificado digital para confirmar que el sitio es legítimo. Empresas llamadas autoridades certificadoras emiten esos certificados, y eMudhra es una de ellas. Ha emitido más de 60 millones de certificados, según El Registro.
Cada autoridad certificadora firma sus certificados con una clave privada. Piénselo como un sello maestro. Si alguien roba o vulnera ese sello, puede falsificar certificados que parecen auténticos para cualquier sitio web.
Los usuarios de criptomonedas también deberían preocuparse por esto, sobre todo fuera del navegador. Los bots de intercambio, los scripts de trading y los backend de carteras a menudo funcionan con Python, Node o Go. Un certificado falsificado para la API de un intercambio podría permitir a un atacante en la misma red leer o modificar el tráfico de un bot. No se han reportado ataques contra criptomonedas ni contra usuarios hasta el momento.
CoinDesk contactó a eMudhra para obtener comentarios.
El navegador Mozilla advirtió que Los interceptores de red podrían utilizar estos certificados fraudulentos para hacerse pasar por sitios confiables, lo que les permitiría leer o alterar los datos del usuario.
Mozilla recibió el informe justo después de las 8 p. m. UTC y tuvo un bloqueo implementado aproximadamente tres horas después. Chrome bloqueó los certificados el mismo día. Apple siguió el 19 de octubre y Microsoft el 20 de octubre. eMudhra también los ha revocado.
Cómo se filtraron las claves aún no está claro.
"Según los investigadores, eMudhra utilizó enteros pequeños como 4, 56 y 237 como claves privadas en lugar de números aleatorios fuertes de 384 bits," Cyber Security News dijo en X.
El investigador en seguridad Scott Helme fue más allá.
