eMudhra y PHP no están solos, las últimas 24 horas han sido un caos absoluto para Internet
Las recientes interrupciones de la seguridad cibernética han afectado la infraestructura digital global, destacadas por vulnerabilidades críticas en el lenguaje de programación PHP y prácticas de seguridad débiles por parte de la autoridad de certificación india eMudhra. La Fundación PHP lanzó un parche urgente para dos fallas conocidas como PHP2Shell, que permiten el acceso no autenticado a servidores web; estas vulnerabilidades, descubiertas por un modelo de IA, afectan aproximadamente al 70% de los sitios web según W3Tech. En respuesta, la Agencia de Seguridad Nacional de EE. UU. y el FBI aconsejaron a las organizaciones que aplicaran actualizaciones de inmediato o que desconectaran los sistemas, lo que llevó al cierre preventivo de sitios web gubernamentales en países como Finlandia y los Países Bajos. Simultáneamente, se identificó que eMudhra utilizaba claves privadas de un byte para emitir certificados digitales, una grave debilidad que permitía a un investigador recuperar rápidamente las claves y crear certificados fraudulentos. Estos incidentes ocurrieron durante el Mes de Concientización de la Ciberseguridad, lo que provocó una atención generalizada a los riesgos planteados por el software obsoleto y los estándares criptográficos inadecuados.
El gobierno de la Unión ha ordenado a un equipo especial que investigue una falla de seguridad crítica en eMudhra Ltd, una autoridad de certificación con sede en Bengaluru en la que confían los principales navegadores globales. La investigación sigue al descubrimiento de que ocho certificados de seguridad intermedios emitidos por la compañía contenían claves privadas tan débiles que podían recuperarse en menos de un segundo. Google, Mozilla, Apple y Microsoft han bloqueado los certificados afectados, mientras que los expertos en seguridad advierten que limpiar las consecuencias será un proceso largo y difícil debido a que el software y el hardware obsoletos aún dependen de la cadena de confianza comprometida.
La vulnerabilidad proviene de una ceremonia de generación de claves celebrada el 30 de abril de 2025. Las claves privadas para estos certificados estaban destinadas a ser números aleatorios de aproximadamente 116 dígitos de largo, proporcionando 384 bits de fuerza criptográfica. En su lugar, las claves eran números enteros de un solo byte que van desde 1 hasta 256. Específicamente, las ocho claves comprometidas fueron identificadas como 4, 56, 66, 115, 155, 156, 230 y 237. Debido a que un solo byte ofrece solo 256 valores posibles, los investigadores pudieron forzar las claves casi al instante. Un investigador de seguridad conocido como Wayne alertó a los colegas de la industria sobre la falla el 17 de octubre.
" Esta prueba de concepto mostró que cualquier persona que posea estas claves podría falsificar certificados de confianza para cualquier sitio web, permitiendo a los atacantes hacerse pasar por servidores legítimos, interceptar datos o robar credenciales. E-Mudhra, una compañía que actúa como Autoridad de Certificación, declaró en un anuncio el miércoles que un fallo en la Ceremonia de Generación de Claves causó un paso de envoltura/desenvoltura para producir un segundo conjunto de claves débiles junto con las fuertes originales. La compañía aclaró que las claves débiles eran las publicadas en las tiendas raíz del navegador. E-Mudhra afirmó que su infraestructura central no se vio comprometida y que no se violaron datos.
Señaló que sus negocios indios de firma digital y firma electrónica operan en infraestructuras separadas y no se ven afectados. La empresa declaró además que ninguna de las autoridades de certificación intermedias afectadas había expedido certificados de entidad final para sitios web específicos, una afirmación corroborada por los registros públicos de transparencia de certificados. Sin embargo, E-Mudhra admitió que uno de los ocho certificados afectados se había utilizado en la producción, aunque no identificó cuál. El Ministerio de Electrónica y Tecnología de la Información (MeitY) dijo que había tomado seriamente nota del incidente y formado un equipo dedicado para investigar.
El ministerio caracterizó el impacto en los sitios web y aplicaciones de la India como muy limitado y de corta duración. También criticó ciertas cuentas de redes sociales por fomentar el miedo con respecto a la violación. Esta evaluación contrasta fuertemente con el asesoramiento emitido por el Equipo de Respuesta a Emergencias Informáticas de la India (CERT-In) más tarde ese mismo día. CERT-In describió las claves como insuficientemente aleatorias criptográficamente y advirtió que los atacantes podrían usarlas para interceptar o alterar las comunicaciones, lo que podría conducir al robo de credenciales, la divulgación no autorizada de información confidencial y el fraude financiero.
La agencia instó a los departamentos gubernamentales, proveedores de servicios de Internet, proveedores de software y administradores de sitios web a actualizar sus sistemas y listas de certificados de confianza de inmediato. El CERT-In instruyó explícitamente a los usuarios a no eludir las advertencias de validación de certificados ni desactivar la verificación de certificados. Las respuestas globales al incidente fueron rápidas. A última hora de la mañana del martes, Apple, Google y Mozilla habían bloqueado los certificados comprometidos en Safari, Chrome y Firefox respectivamente.
Dennis Jackson, involucrado en la respuesta de Mozilla, describió las claves eMudhra como triviales para explotar, señalando que seis de los certificados impactados eran para TLS y confiables por los programas de raíz de Chrome, Mozilla, Microsoft y Apple. herramientas, llamaron a la situación de locos, sugiriendo que probablemente era un código de ejemplo que se filtró accidentalmente en la producción. Los expertos en seguridad expresaron su profunda preocupación por las implicaciones a largo plazo. Filippo Valsorda, un ingeniero del lenguaje Go, advirtió que el esfuerzo de limpieza podría rivalizar o superar la escala del error Heartbleed de 2014.
Señaló que si bien los navegadores se pueden actualizar rápidamente, parchar máquinas Linux olvidadas, dispositivos inteligentes de Internet de las Cosas en el hogar y herramientas de servidor de fondo tomará un tiempo considerable. Yash Kakadia, fundador de la firma de ciberseguridad Security Brigade, destacó que el impacto se extiende a los dispositivos IoT que no se parchan con frecuencia. El informe de incidente de Mozilla declaró que el incidente permite incluso a individuos técnicamente poco sofisticados recuperar fácilmente las claves privadas, lo que representa una amenaza de alto impacto para la cadena de confianza de Internet global.
Varios sitios web del gobierno indio, incluidos los operados por la Autoridad de Identificación Única de la India (UIDAI) para Aadhaar y el portal de presentación de impuestos sobre la renta, utilizan certificados eMudhra o tecnología relacionada. Históricamente, los navegadores globales han sido cautelosos acerca de confiar en las autoridades de certificación raíz de la India después de los certificados falsos emitidos en 2014 por el Centro Nacional de Informática. E-Mudhra sigue siendo la única autoridad de certificación de raíces de la India en la que se confía actualmente a nivel mundial. No hay indicios de que los propios certificados raíz de E-Mudhra, que se encuentran por encima del nivel comprometido, hayan sido violados.
A partir de los últimos informes, los registros de transparencia no muestran evidencia de que las claves débiles se hayan utilizado para emitir certificados maliciosos, aunque esto no excluye de manera concluyente el uso indebido fuera de la emisión de certificados visibles para el navegador. Un ataque que utilice estos certificados requeriría una posición de adversario en el medio, como el control de una red Wi-Fi local. Se aconseja a los usuarios que se aseguren de que sus navegadores web, sistemas operativos y aplicaciones de seguridad estén actualizados a las últimas versiones.
Ir a las fuentes primarias (1)
Las fuentes oficiales en las que se basa la cobertura. Léelas directamente para evitar el encuadre.
Ocho claves criptográficas privadas utilizadas por eMudhra Ltd., una firma de seguridad digital con sede en Bengaluru, se filtraron, lo que generó preocupaciones significativas sobre la seguridad web. Estas claves se utilizan para emitir certificados SSL/TLS, que son esenciales para asegurar las comunicaciones en línea. Las claves tenían una vulnerabilidad crítica: utilizaban números entre 1 y 256 en lugar del requerido cifrado de 384 bits, lo que las hacía extremadamente fáciles de adivinar. Las principales compañías de navegadores como Google (Chrome), Mozilla, Microsoft y Apple fueron alertadas y tomaron medidas para revocar la confianza en los certificados comprometidos. eMudhra declaró que solo uno de los certificados intermedios afectados estaba en uso activo, y no se emitieron certificados de usuario final utilizando las claves defectuosas. Sin embargo, los expertos advierten que los dispositivos IoT, que a menudo son difíciles de actualizar, aún podrían ser vulnerables.
Lectura del sesgo (Centro): El artículo presenta una violación de seguridad técnica que involucra a una empresa privada cuyos productos son utilizados por el gobierno y las unidades del sector público. Si bien el incidente tiene implicaciones nacionales, el artículo se centra en los aspectos técnicos de la vulnerabilidad, la respuesta de eMudhra y la opinión de expertos.
Por qué veracidad (95): The article provides specific details about the leaked keys including the number of keys (eight), the company involved (eMudhra Ltd.), and the nature of the vulnerability (keys being between 1 and 256 instead of 384-bit). These facts align with the cross-source consensus and appear well-supported.
Por qué objetividad (90): The article presents the information in a largely neutral manner, focusing on technical aspects and quoting experts like Dennis Jackson from Mozilla. It avoids overtly biased language but does include some descriptive terms like 'extraordinary development' and 'glaring flaw,' which slightly lean tow
India TodayIndependienteCentroVeracidad 95Objetividad 90
Se descubrió una vulnerabilidad de seguridad crítica en ocho certificados digitales intermedios emitidos por la autoridad de certificación india eMudhra. Estos certificados contenían claves de cifrado extremadamente débiles, que van desde 3 a 8 bits, que son mucho menos seguras que las claves estándar de 384 bits. Un investigador de seguridad llamado Wayne demostró la debilidad creando un sitio web que usaba un mensaje firmado digitalmente para resaltar la falla. Los expertos advierten que esta falla podría permitir a los atacantes falsificar certificados de confianza, lo que podría comprometer los datos del usuario. Las principales compañías tecnológicas como Apple, Google y Mozilla rápidamente bloquearon los certificados comprometidos, mientras que los expertos en criptografía expresaron su preocupación por la limpieza extensa necesaria, comparándolo con el error Heartbleed de 2014. Aunque aún no se ha confirmado ningún uso malicioso, el riesgo persiste debido a la posibilidad de explotación a través de ataques man-in-the-middle.
Lectura del sesgo (Centro): El artículo se centra en un problema técnico de ciberseguridad que involucra estándares de encriptación y no se involucra con debates políticos, políticas o cifras. Proporciona una explicación equilibrada de la vulnerabilidad, las reacciones de los expertos y los esfuerzos de mitigación sin un marco ideológico aparente.
Por qué veracidad (95): The article accurately describes the discovery of weak cryptographic keys used by eMudhra, citing the specific bit sizes (3–8 bits) and referencing the researcher 'Wayne' who demonstrated the vulnerability. The comparison to the Heartbleed bug is reasonable given the potential scale of the issue. Ho
Por qué objetividad (90): The article maintains a largely neutral tone, presenting facts and expert reactions without overt bias. The term 'shockingly weak' introduces some subjective language but does not strongly influence the overall neutrality. The description of the situation as 'bonkers' is a direct quote from Ben Cart
India TodayIndependienteCentroVeracidad 95Objetividad 85
Una firma india de ciberseguridad llamada eMudhra se enfrenta a un escrutinio significativo después de que se descubrió que ocho certificados digitales que emitió contenían claves privadas extremadamente débiles. Estas fallas hicieron posible que los atacantes recuperaran las claves en menos de un segundo, lo que potencialmente les permitió falsificar certificados de seguridad falsos e imitar a servidores legítimos. Las principales compañías tecnológicas como Apple, Google, Microsoft y Mozilla han tomado medidas para bloquear los certificados afectados, mientras que plataformas como Cloudflare han implementado parches de seguridad. Aunque aún no se han confirmado ataques, el incidente ha generado preocupaciones sobre cómo se pasó por alto una vulnerabilidad de seguridad tan fundamental y cuánto tiempo podría tomar resolver completamente el problema a nivel mundial. eMudhra opera como una Autoridad de Certificación, emitiendo certificados digitales que ayudan a los navegadores a verificar la autenticidad de los sitios web, lo que hace que su papel sea crítico para la seguridad de Internet.
Lectura del sesgo (Centro): El artículo se centra en un problema técnico de ciberseguridad que involucra a una empresa privada y sus vulnerabilidades de certificados digitales. No hay mención de figuras políticas, políticas o perspectivas partidistas. El contenido sigue centrado en los aspectos técnicos de la falla y sus implicaciones para la web.
Por qué veracidad (95): Accurately reports the compromise of eight keys, the involvement of major tech companies, and the lack of evidence for active exploitation. The claim that keys could be recovered in 'less than a second' aligns with the primary source's description of the flaw being 'trivial to exploit.'
Por qué objetividad (85): Uses slightly dramatic phrasing like 'internet security scare' and 'meltdown,' but remains largely informative and balanced in explaining the technical context.
eMudhra Ltd, con sede en Bengaluru, una autoridad certificada en la que confían los principales navegadores globales, generó claves criptográficas débiles para ocho certificados de seguridad debido a una falla en su proceso de generación de claves. Este error permitió que cualquiera pudiera derivar las claves secretas en segundos, permitiendo la emisión de identidades digitales fraudulentas para cualquier sitio web, incluidos bancos y portales gubernamentales. Las principales compañías tecnológicas como Google, Mozilla, Apple y Microsoft han revocado los certificados afectados para mitigar los riesgos. El Ministerio de Electrónica y Tecnología de la Información de la India (MeitY) ha establecido un equipo especial para investigar el incidente, afirmando que el impacto en los servicios domésticos fue limitado, mientras que acusó a las redes sociales de fomentar el miedo. Los expertos en seguridad advierten que la limpieza será compleja y prolongada, afectando particularmente a sistemas obsoletos como routers y terminales de pago que se actualizan con poca frecuencia.
Lectura del sesgo (Centro): El artículo mantiene un tono neutral y basado en hechos con respecto a una violación significativa de la ciberseguridad que involucra a una entidad nacional y la respuesta del gobierno. Si bien el tema involucra la regulación estatal y la rendición de cuentas de las empresas, la presentación de informes equilibra las explicaciones técnicas, las declaraciones corporativas y las
Por qué veracidad (95): Accurately states the government investigation, the blocking of certificates, and the specific example of a key being the number 4. Correctly notes the lack of evidence for misuse.
Por qué objetividad (80): Uses strong descriptors like 'so poorly' and 'flimsy,' and quotes experts expressing alarm. While factually grounded, the tone leans towards emphasizing the severity and negative implications more than a purely neutral summary would.
India TodayIndependienteCentroVeracidad 15Objetividad 40
Las recientes interrupciones de la seguridad cibernética han afectado la infraestructura digital global, destacadas por vulnerabilidades críticas en el lenguaje de programación PHP y prácticas de seguridad débiles por parte de la autoridad de certificación india eMudhra. La Fundación PHP lanzó un parche urgente para dos fallas conocidas como PHP2Shell, que permiten el acceso no autenticado a servidores web; estas vulnerabilidades, descubiertas por un modelo de IA, afectan aproximadamente al 70% de los sitios web según W3Tech. En respuesta, la Agencia de Seguridad Nacional de EE. UU. y el FBI aconsejaron a las organizaciones que aplicaran actualizaciones de inmediato o que desconectaran los sistemas, lo que llevó al cierre preventivo de sitios web gubernamentales en países como Finlandia y los Países Bajos. Simultáneamente, se identificó que eMudhra utilizaba claves privadas de un byte para emitir certificados digitales, una grave debilidad que permitía a un investigador recuperar rápidamente las claves y crear certificados fraudulentos. Estos incidentes ocurrieron durante el Mes de Concientización de la Ciberseguridad, lo que provocó una atención generalizada a los riesgos planteados por el software obsoleto y los estándares criptográficos inadecuados.
Lectura del sesgo (Centro): El artículo informa sobre incidentes técnicos de ciberseguridad que involucran vulnerabilidades de software y fallas de seguridad corporativa. Mientras que las agencias gubernamentales como la NSA y el FBI se mencionan con respecto a los consejos, el tema central es la infraestructura tecnológica y los protocolos de seguridad en lugar de partidistas
Por qué veracidad (15): The article fails to accurately represent the primary source document. It conflates the eMudhra incident with unrelated events (like the PHP vulnerability) into a single 'chaos' narrative, diluting the specific facts of the eMudhra breach. Crucially, it omits the core technical details provided in t
Por qué objetividad (40): The tone is sensationalist and alarmist, using phrases like 'absolute chaos,' 'sit up and notice,' and 'what in the world is going on?' This creates a sense of panic rather than providing a neutral report. By grouping multiple distinct security incidents together under a headline of 'chaos,' the art
Cómo lo cubrió cada lado
El mismo suceso, agrupado por la inclinación política de los medios que lo cubren.
progresista
centro
conservador
★
Cómo lo cubrió cada lado
Apoya noticias independientes y conscientes del sesgo y desbloquea el pulso social, el voto de la comunidad y todas las demás funciones para suscriptores.
Apoya noticias independientes y conscientes del sesgo y desbloquea el pulso social, el voto de la comunidad y todas las demás funciones para suscriptores.
Las principales afirmaciones fácticas y cuántas fuentes las respaldan o las rebaten.
★
Verificación de afirmaciones
Apoya noticias independientes y conscientes del sesgo y desbloquea el pulso social, el voto de la comunidad y todas las demás funciones para suscriptores.
ObjectiveNews se financia con los lectores y no tiene anuncios: te mostramos el sesgo en lugar de ocultarlo. Apoya el periodismo independiente por 4 €/mes.
India
