Windows retira siete certificados vinculados a eMudhra y apunta a los equipos desconectados

Microsoft ha cambiado qué certificados acepta Windows por defecto tras descubrirse claves débiles en la jerarquía de eMudhra. La actualización fuera de banda (OOB) del 26 de octubre retira siete certificados relacionados con esa jerarquía; Microsoft aplicó el mismo cambio a Edge el día 27. El caso afecta especialmente a equipos que no reciben automáticamente las actualizaciones de confianza.

-InfraCrew dice: la tienda de certificados parece estática hasta que una raíz desaparece y una aplicación de producción decide explicarlo en su propio idioma.-

Siete certificados retirados no son ocho claves comprometidas

Microsoft describe ocho claves privadas de autoridades intermedias que podían recuperarse: seis asociadas a TLS y dos a firma de código. Una clave de una autoridad intermedia permite emitir certificados que, por la cadena de confianza, parecen proceder de una entidad legítima. Microsoft afirma que el incidente se originó en la jerarquía de eMudhra y no en sus propios sistemas.

La medida del 26 de octubre en Windows retiró siete certificados de las listas de confianza: seis raíces eMudhra G3 y un certificado cruzado de AAA Certificate Services. No son los mismos objetos que las ocho claves intermedias. Microsoft distingue la actualización que bloqueó las autoridades intermedias afectadas del cambio más amplio sobre qué raíces mantiene como confiables; contar ocho claves y siete certificados como si fueran dos versiones de la misma lista mezcla capas distintas de la PKI.

El fabricante eMudhra dice que revocó las ocho intermediarias el 18 de octubre y que ninguna llegó a emitir certificados; según la alerta de NHS England, tampoco informó de intrusión en su infraestructura ni de una filtración de datos. Ese contexto reduce lo que puede afirmarse sobre abuso observado, pero no elimina el problema de confianza en los sistemas que todavía acepten una cadena afectada.

-InfraCrew dice: «no vimos certificados emitidos» y «ningún sistema necesita revisar su almacén» son frases distintas; la primera no demuestra la segunda.-

Por qué Microsoft destaca los dispositivos sin CTL automático

La primera barrera para Windows llegó el 20 de octubre mediante la Certificate Trust List (CTL) de certificados no permitidos. Edge y WebView2 recibieron además una actualización de CRLSet que bloquea certificados TLS emitidos por las autoridades afectadas; Microsoft indica que esta vía se distribuye automáticamente y no requiere instalar una versión nueva del navegador.

El cambio de siete certificados llegó después como una decisión sobre la lista de raíces de confianza. La OOB de Windows está dirigida en particular a equipos desconectados, que no acceden al servicio de certificados de Microsoft o que tienen desactivadas las actualizaciones automáticas de CTL. Para máquinas que sí reciben los cambios habituales, Microsoft recomienda mantener activos esos canales, no buscar un paquete especial en cada ocasión.

Microsoft también pide revisar máquinas Azure desconectadas, incluidas instancias y conjuntos de escalado, porque hay imágenes actualizadas en Azure Marketplace. Si una aplicación, servicio o dispositivo depende de certificados que encadenan con alguna de las siete entradas retiradas, el resultado puede ser un error de validación o una conexión rechazada cuando el cambio alcance ese equipo.

Qué revisar en un parque administrado

El inventario útil debe incluir más que los portátiles: servidores sin salida a Internet, imágenes base, máquinas virtuales apagadas, estaciones de construcción, appliances y aplicaciones que llevan su propio almacén de certificados. Un almacén administrado por una aplicación puede no reaccionar igual que la lista de Windows; el objetivo es localizar dependencias y conseguir una cadena alternativa antes de que la retirada interrumpa una conexión legítima.

Microsoft aconseja reemplazar certificados dependientes y advierte contra restaurar localmente la confianza en una jerarquía afectada sin una evaluación de seguridad. En dispositivos aislados, el equipo responsable debe comprobar que el proceso de actualización distribuya tanto la lista de autoridades no permitidas como los cambios de confianza, siguiendo el procedimiento ya aprobado para imágenes y equipos desconectados.

-InfraCrew dice: las excepciones locales sobreviven a la política central; conviene que tengan dueño, motivo y fecha de caducidad, no solo una casilla marcada hace años.-

eMudhra afirma que el incidente se limitó a una jerarquía y que no hubo emisión desde las intermediarias débiles; Microsoft, por su parte, señala que sigue evaluando otras raíces. La conclusión práctica no es volver a instalar indiscriminadamente certificados, sino comprobar qué cadenas usa cada servicio y dejar que la política de confianza actualizada llegue a todos los sistemas.

Diccionario de la Crew

OOB — Actualización fuera del ciclo habitual de mantenimiento mensual.
PKI — Infraestructura de clave pública: autoridades, certificados y reglas que permiten verificar identidades y cadenas de confianza.
CTL — Lista de certificados que Windows considera de confianza o que debe rechazar.
CRLSet — Lista de revocación que Chrome y componentes basados en Chromium usan para bloquear determinados certificados.