Actualización 2: eMudhra de India genera una alerta global por una vulnerabilidad de seguridad y se retira del negocio de seguridad web.

Agregue citas y detalles en todo el texto

Abhirami G

Reuters, 22 de octubre - La empresa de seguridad digital eMudhra (EMUD.NS) está saliendo de su negocio de emisión de certificados digitales para sitios web internacionales, incluyendo el portal tributario de la India. Esto ocurre luego de que importantes fabricantes de navegadores bloquearan sus certificados por vulnerabilidades de seguridad, lo que generó preocupaciones globales sobre ciberseguridad.

El jueves, la empresa anunció esta decisión después de que gigantes tecnológicos como Google GOOGL.O, Apple AAPL.O y Microsoft MSFT.O dejaran de confiar en sus certificados SSL/TLS. Estos certificados sirven para cifrar los datos transmitidos entre los usuarios y los sitios, protegiendo la información contra hackers.

Las vulnerabilidades se revelaron el fin de semana pasado, cuando un investigador independiente en ciberseguridad descubrió que varios de los principales certificados de eMudhra presentaban fallas explotables.

La clientela de eMudhra es diversa, abarcando desde gigantes informáticos como Infosys (INFY.NS) y TCS (TCS.NS) hasta entidades gubernamentales, y sus certificados protegen sitios críticos como el portal de impuestos de la India.

“Los certificados de eMudhra tienen reconocimiento internacional, y este tipo de vulnerabilidades han provocado una crisis de confianza en el sector de ciberseguridad a nivel mundial”, afirmó Mredul Sarda, fundador de la empresa de ciberseguridad Causal Security, con sede en San Francisco.

En un comunicado, eMudhra señaló que la vulnerabilidad no fue detectada en los últimos 18 meses, y que pasó por dos rondas de auditoría.

Kaushik Srinivasan, cofundador, contó a Reuters que la falla se originó por ocho claves generadas por eMudhra en abril del año pasado, que su software acortó erróneamente, lo que redujo significativamente la seguridad.

Una clave criptográfica es una larga cadena de caracteres que se usa para cifrar y descifrar datos mediante algoritmos. Sin embargo, la longitud de las claves de eMudhra era demasiado corta, facilitando la ruptura del cifrado.

“Si una autoridad certificadora es comprometida, los atacantes pueden hacerse pasar por cualquier sitio”, advirtió Lukasz Olejnik, consultor independiente y investigador sénior visitante en el Departamento de Estudios de Guerra del King's College London.

A pesar de que los navegadores rápidamente bloquearon los certificados comprometidos, los dispositivos conectados con actualizaciones menos frecuentes podrían seguir en riesgo. “Millones de dispositivos antiguos podrían seguir expuestos por años, o incluso siempre, porque aún confiarán en esos certificados”, afirmó Olejnik.

El Equipo de Respuesta a Emergencias Informáticas de la India anunció el miércoles que algunos certificados intermedios de eMudhra ya habían sido filtrados.

eMudhra aseguró que revocó los ocho certificados pero insistió que su infraestructura no fue afectada y que no hubo filtración de datos.

La empresa señaló que la atención en redes sociales provocó un escrutinio desproporcionado sobre este negocio, que solo representa el 1% de sus ingresos.

La reacción de los inversores fue fuerte, y las acciones de eMudhra cayeron un 40% en los dos días siguientes a la revelación de la falla.

(Para facilitar la comprensión a quienes no tienen el inglés como lengua materna, Reuters ofrece sus reportajes traducidos automáticamente a varios idiomas. Dada la posibilidad de errores en la traducción automática, o de que no se recoja todo el contexto necesario, Reuters no garantiza la exactitud de estos textos y los ofrece solo para comodidad del lector. Reuters no asumirá ninguna responsabilidad por los daños o pérdidas derivados del uso de las traducciones automáticas.)