eMudhra, la certificadora india, deja el negocio SSL/TLS

eMudhra abandona el negocio global de certificados SSL/TLS

eMudhra, una de las pocas autoridades certificadoras (CA) indias aceptadas en los principales almacenes de confianza del mundo, anunció el 22 de octubre que su consejo decidió retirarse voluntariamente del negocio global de certificados SSL/TLS. La línea representaba apenas cerca del 1% de los ingresos globales de la compañía, según su presidente, V. Srinivasan.

Para un founder, la noticia no es el retiro en sí: es el motivo. Una compañía con más de 60 millones de certificados emitidos a clientes en 21 países —según BankInfoSecurity— y presencia declarada en más de 35 países decidió salir de un negocio de infraestructura crítica porque su retorno ya no justificaba el riesgo reputacional. Esa ecuación —costo de cumplimiento creciente contra margen decreciente— es la misma que enfrentan muchas startups de infraestructura hoy.

El incidente que precipitó la decisión

El detonante fue técnico y grave. Un investigador descubrió que las claves privadas de ocho certificados intermedios de eMudhra eran lo bastante débiles como para calcularlas. Según BankInfoSecurity, una de ellas tenía una clave privada de un solo byte de longitud, con valores que iban de 0 a 255, cuando esos certificados usan criptografía de curva elíptica con claves pensadas para 48 bytes.

El investigador Scott Helme logró recuperar los valores exactos: 4, 56, 66, 115, 155, 156, 230 y 247. Dennis Jackson, ingeniero sénior de criptografía de Mozilla, contó que también pudo recuperar las claves pidiéndole a un modelo de IA que las calculara.

eMudhra atribuyó el fallo a una ceremonia de generación de claves del 30 de abril de 2025: un paso de envoltura y desenvuelta produjo un segundo juego de claves débiles junto a las fuertes, y esas claves débiles terminaron en los almacenes de raíz de los navegadores, según The Next Web. La compañía sostiene que revocó las CA afectadas dentro de las 14 horas posteriores al descubrimiento, que ninguna emitió certificados de entidad final y que no hubo brecha de infraestructura ni de datos.

La reacción del ecosistema fue rápida. Chrome y Firefox bloquearon los certificados el sábado; Apple el lunes y Microsoft el martes. Sectigo, que en mayo de 2025 había firmado cruzadamente cada certificado deficiente, los revocó el lunes. El programa Chrome Root de Google dijo que está investigando "de cerca" la permanencia del resto de los certificados CA de eMudhra en su almacén.

El impacto se extendió al software. Go bloqueó la confianza en un conjunto de certificados intermedios y recomendó actualizar (el caso se rastrea como CVE-2026-111943); Python, Rust, Red Hat y Ubuntu publicaron parches, mientras que el de Java seguía pendiente. El Ministerio de Electrónica y Tecnología de la Información de India abrió una investigación el miércoles.

Por qué el negocio de SSL/TLS dejó de cerrar

La explicación de Srinivasan es un caso de estudio de economía de infraestructura. Los requisitos de soberanía de datos y cumplimiento hacen que operar una CA global sea cada año más complejo y caro. Al mismo tiempo, algunos grandes actores emiten los certificados SSL/TLS de forma gratuita, lo que comprime el potencial de negocio y el retorno de esa línea.

A eso se sumó el factor reputacional. La compañía reconoció que "el nivel de amplificación en redes sociales alrededor de este incidente trajo un escrutinio desproporcionado al lugar que SSL/TLS ocupa en nuestro negocio". La decisión del consejo fue, en sus palabras, la correcta para la empresa y sus accionistas.

Vale la pena subrayar la asimetría: para muchas autoridades certificadoras, SSL/TLS es todo el negocio. Para eMudhra es una pieza de un portafolio más amplio de identidad digital, firma electrónica y PKI empresarial. Ese es el argumento central del retiro.

Qué pasa con los clientes y con la infraestructura

El retiro no es inmediato ni abrupto. Las raíces G1 RSA seguirán operando hasta completar la transición, y eMudhra contactará a los clientes afectados para reemplazar certificados sin costo a través de socios. Los servicios de revocación y estado de certificados seguirán funcionando hasta que cada certificado emitido expire o sea reemplazado, y la compañía prometió cumplir sus compromisos pendientes con los programas de raíz, incluido un informe completo de causa raíz.

La compañía estima que 30.000 certificados deben migrarse a una cadena de confianza alternativa, y señaló que el bloqueo de la raíz afecta a "un ecosistema de clientes en Estados Unidos".

Los negocios centrales quedan intactos: certificados de firma digital (DSC), eSign, las plataformas PKI empresariales emCA y CertiNext, la suite de firma electrónica emSigner y las soluciones de identidad y autenticación SecurePass y emAS.

Qué significa esto para tu startup

1. Audita tu cadena de confianza, no solo tu certificado. El problema no está en el certificado que compraste, sino en los intermediarios que lo firman. Revisa si tu stack depende de eMudhra directamente o a través de un cross-sign de Sectigo, y verifica qué CA raíz valida tu infraestructura.

2. Actualiza tus runtimes y librerías. Los navegadores consultan listas de revocación de forma rutinaria, pero muchos otros clientes no consumen información de revocación y necesitan actualizaciones de software para dejar de confiar en los intermediarios comprometidos, advirtió Jackson. Si tienes servicios en Go, Python, Rust, Red Hat o Ubuntu, aplica los parches; si usas Java, monitorea el release pendiente.

3. No dependas de una sola CA. La lección de eMudhra es que un incidente en un eslabón puede forzar la migración de decenas de miles de certificados. Automatizar la renovación y tener una segunda cadena de confianza lista reduce el tiempo de reacción cuando algo así ocurre.

4. Trata las auditorías como un piso, no como un techo. Las CA afectadas habían pasado auditorías independientes dos años seguidos. Yash Kadakia, fundador y CTO de la firma de ciberseguridad india Security Brigade, pidió al gobierno indio revisar la efectividad de las auditorías de seguridad obligatorias: "el fallo de una sola autoridad puede socavar la autenticación de organizaciones que nunca trataron con ella".

Conclusión

eMudhra eligió salir de un negocio que representaba el 1% de sus ingresos antes de que el escrutinio siguiera escalando. La jugada tiene lógica financiera, pero deja una pregunta abierta: el programa Chrome Root todavía evalúa si mantiene el resto de sus certificados CA, y Google esperaba completar la revocación en todos los dispositivos afectados para el 27 de octubre.

Para los founders, el mensaje es operativo. La confianza digital no se compra una vez: se mantiene con monitoreo continuo, diversificación de proveedores y actualizaciones al día. Una clave de un byte puede tumbar la infraestructura de miles de organizaciones que nunca oyeron hablar de la autoridad certificadora que la emitió.

Fuentes

• eMudhra to Exit Global SSL/TLS Certificate Business (fuente original)
• eMudhra drops TLS certificates days after browsers blocked its keys
• Weak Certificates From Indian CA Cause Cascade of Updates