La clave privada que protegía a una autoridad de certificación de confianza era el número 4

No un número de 384 bits que empieza por cuatro. El número cuatro. Un investigador que firma como Flupke publicó esa clave privada en GitHub, porque a esas alturas ya no quedaba ningún secreto que proteger.

Las autoridades de certificación son ese grupo reducido de organizaciones en las que su navegador confía para dar fe de los sitios web. eMudhra es una de ellas, una empresa india cuyo certificado raíz viene incluido en Firefox, Chrome, Safari y Windows. Durante una ceremonia de generación de claves en abril de 2025, un script defectuoso produjo un segundo lote de claves junto a las correctas, todas con valores inferiores a 256 y por tanto recuperables probando 256 números. Las etiquetas se parecían lo bastante a las buenas como para que el personal cogiera el lote equivocado. Salieron ocho certificados intermedios firmados con claves que un portátil resuelve en la pausa de la comida, y quien tuviera una podría haber emitido un certificado HTTPS de apariencia válida para cualquier sitio que se le antojara.

La limpieza fue rápida. Mozilla recibió el aviso a las 20:06 UTC del 17 de octubre y tenía protegidos a los usuarios de Firefox a las 22:59 de esa misma noche, mediante OneCRL, una lista de revocación que llega a los navegadores sin actualización. Chrome bloqueó el mismo día, Apple el 19 y Microsoft el 20. No hay indicios de que nadie abusara de las claves, y la mayoría de los ocho certificados nunca llegó a usarse en producción, aunque técnicamente la ventana llevaba abierta desde abril del año pasado.

La parte automática le protege sin preguntar. El resto no: Firefox 158.0.1, los almacenes de certificados raíz renovados y los entornos de ejecución corregidos bajo otros programas llegan como actualizaciones normales, y un navegador tres versiones por detrás no recibe ninguna. La comprobación de actualizaciones de aplicaciones de Tendvane pasa por winget y deja Chrome, Firefox y Edge al día de una sola pasada.