Qué ha pasado
El incidente afecta a ocho autoridades de certificación (CA, por sus siglas en inglés) intermedias de eMudhra con claves recuperables: seis asociadas a TLS y dos a firma de código. Microsoft explicó el 26 de octubre que alguien podría crear certificados que parecieran proceder de una autoridad confiable. El 27 de octubre añadió que siete certificados relacionados ya habían sido retirados de la lista de confianza de Edge.
La cronología empezó el 17 de octubre, cuando un investigador comunicó el problema a eMudhra y a los principales operadores de almacenes de confianza. Mozilla registra el aviso a las 20:06 UTC y eMudhra afirma que revocó las ocho CA intermedias el 18 de octubre, dentro de las 14 horas posteriores a la confirmación. Cisco, en una actualización del 27 de octubre, describe el origen como un error en una ceremonia de generación de claves de abril de 2025 que dejó expuestas unas claves criptográficamente débiles.
Qué podía hacer una clave recuperable
Una CA intermedia firma certificados en nombre de una raíz de confianza. Si alguien obtiene su clave privada, puede intentar emitir un certificado TLS para un dominio ajeno o firmar código con una identidad reconocida como válida. Esa posibilidad justificó el bloqueo preventivo; no equivale a que se hayan emitido certificados fraudulentos ni a que se haya demostrado una intrusión.
Microsoft distingue seis claves TLS y dos de firma de código. eMudhra sostiene que las ocho CA no habían emitido certificados de entidad final públicamente confiables y que no tiene constancia de uso malicioso antes de la divulgación.
Revocar las CA intermedias y retirar una raíz o un certificado de cruce de los almacenes de confianza no es lo mismo. La primera permite bloquear las intermedias en los sistemas que aplican esas comprobaciones; la segunda elimina la confianza predeterminada en una jerarquía más amplia. Microsoft está aplicando ambas capas por separado.