Certificados de confianza eliminados de Windows: qué ocurrió, qué riesgos existían y cómo proteger tus servidores
Certificados de confianza eliminados de Windows: qué ocurrió, qué riesgos existían y cómo proteger tus servidores
Cuando hablamos de ciberseguridad solemos pensar en malware, ransomware o vulnerabilidades críticas, especialmente estas últimas semanas. Pero esta vez el protagonista es algo que normalmente pasa desapercibido: los Certificados de confianza, que fueron eliminados de Windows.
Durante los últimos días Microsoft publicó actualizaciones extraordinarias para eliminar varios certificados raíz del almacén de confianza de Windows tras detectarse problemas extremadamente graves en la infraestructura de certificación de eMudhra, una reconocida autoridad certificadora (CA). Microsoft’s response to compromised eMudhra certificate authority keys
Y aunque la noticia puede parecer lejana al administrador promedio, en realidad afecta directamente a cualquier organización que utilice HTTPS, firma digital de software, VPN, servicios cloud o aplicaciones corporativas… prácticamente a todo, porque cuando se rompe la confianza de una autoridad certificadora, todo el ecosistema empieza a ponerse nervioso. En otras palabras: si no podemos confiar en quien controla y asegura que un servicio o sitio es el que realmente dice ser, tampoco podemos confiar en la identidad de este y, por ende, no podemos confiar en nada.
¿Qué ocurrió exactamente?
Microsoft confirmó problemas relacionados con ocho claves privadas pertenecientes a autoridades certificadoras intermedias de eMudhra:
- Seis utilizadas para certificados TLS.
- Dos utilizadas para firma de código.
Según Microsoft, estas claves podían ser recuperadas y potencialmente utilizadas para generar certificados aparentemente legítimos o firmar contenido malicioso como si proviniera de una fuente confiable. Como respuesta Microsoft bloqueó inicialmente las autoridades afectadas. Posteriormente eliminó seis certificados raíz eMudhra G3 y un certificado AAA Certificate Services Cross-Sign de los almacenes de confianza de Windows y Edge.
¿Qué es una autoridad certificadora?
Una autoridad certificadora es una entidad encargada de emitir certificados digitales.
Cuando accedes a:
tu navegador comprueba si el certificado recibido proviene de una entidad considerada confiable.
Si la respuesta es positiva aparece el famoso candadito. Si la respuesta es negativa aparecen advertencias de seguridad. Toda esa cadena de confianza termina en certificados raíz almacenados localmente dentro de Windows, Linux, macOS o navegadores web.
¿Cuál era la vulnerabilidad?
La vulnerabilidad no afectaba directamente a Windows. Microsoft aclara que el problema se encontraba dentro de la jerarquía de certificados de eMudhra y no en sistemas Microsoft. El riesgo era que atacantes pudieran utilizar claves comprometidas para generar certificados aparentemente válidos. Esto es especialmente peligroso porque la mayoría de los sistemas confían automáticamente en certificados emitidos por autoridades raíz reconocidas.
¿Qué daños podrían haberse producido?
Microsoft indica varios escenarios de riesgo.
Suplantación de sitios web: Los atacantes podrían crear certificados que aparentaran ser legítimos para servicios web y esto permitiría crear sitios falsos, servicios clonados, portales corporativos fraudulentos, intercepción de comunicaciones…
Las claves TLS comprometidas podrían utilizarse para suplantar servicios, interceptar tráfico cifrado, realizar ataques man-in-the-middle, firma de malware que luego se instalaría como proveniente de proveedores confiables. Es decir que las claves utilizadas para firma de código podrían hacer que programas maliciosos parecieran legítimos.
En otras palabras: Un malware podría mostrarse como software firmado por un proveedor aparentemente confiable y el antivirus ni se inmutaría.
¿Puede infectar servidores Linux?
Conviene aclarar algo importante: Los certificados comprometidos no «infectan» sistemas por sí mismos. No estamos ante un virus ni ante un exploit remoto tradicional. Lo que ocurre es que los atacantes podrían aprovechar certificados fraudulentos para engañar sistemas y usuarios.
Los vectores potenciales incluyen:
- HTTPS falso.
- Actualizaciones manipuladas.
- Descargas firmadas fraudulentamente.
- Puertas de acceso para ataques MITM.
La infección llegaría posteriormente mediante malware distribuido utilizando esos certificados aparentemente confiables. Entonces… ¿afecta a Linux?. Sí. Aunque la respuesta de Microsoft se centra en Windows, el problema afecta a cualquier sistema que confíe en certificados emitidos por la infraestructura comprometida. Según diversos informes, Mozilla, Google, Apple y otros fabricantes también tomaron medidas similares. Por tanto puede afectar a:
- Ubuntu
- Debian
- AlmaLinux
- Rocky Linux
- Red Hat
- SUSE
No por la distribución en sí misma, sino por los almacenes de certificados utilizados por navegadores, servicios y aplicaciones.
¿Cómo prevenir problemas?
Mantener actualizado Windows
Microsoft distribuyó actualizaciones extraordinarias para sistemas que no reciben automáticamente las actualizaciones de confianza de certificados.
Verificar almacenes de certificados
Abrir:
certlm.msco
certmgr.mscy revisar certificados corporativos e internos.
Auditar dependencias
Microsoft recomienda identificar certificados que dependan de las raíces eliminadas. Esto es especialmente importante en:
- IIS
- VPN corporativas
- Servidores Exchange
- Gateways
- Aplicaciones internas
¿Qué síntomas podrían aparecer?
Tras aplicar las actualizaciones pueden aparecer:
- Errores TLS.
- Certificados no confiables.
- Problemas de conexión HTTPS.
- Fallos de VPN.
- Errores de firma digital.
- Aplicaciones heredadas que dejan de funcionar.
Esto no significa necesariamente que exista un ataque. Muchas veces indica simplemente que la aplicación utilizaba certificados encadenados a una autoridad ahora eliminada del almacén de confianza.
¿Cómo solucionarlo?
Paso 1: identificar la cadena de certificados
En Windows:
certutil -verify certificado.cerPaso 2: localizar la raíz afectada
Verificar si la cadena depende de eMudhra G3 o AAA Certificate Services Cross-Sign
Paso 3: solicitar un nuevo certificado
La solución correcta suele consistir en reemplazar el certificado por uno emitido por una autoridad certificadora válida.
Paso 4: probar aplicaciones
Comprobar:
- IIS
- Apache
- Nginx
- VPN
- Servicios de autenticación
¿Qué hacer si el entorno ya fue comprometido?
Si existen indicios de uso fraudulento de certificados:
- Revocar certificados afectados.
- Generar nuevos certificados.
- Cambiar credenciales potencialmente expuestas.
- Revisar registros de acceso.
- Auditar conexiones HTTPS.
- Analizar sistemas en busca de software firmado sospechoso.
- Realizar un análisis forense completo.
Conclusión
La eliminación de certificados del almacén de confianza de Windows no es una vulnerabilidad nueva, sino una medida de protección adoptada por Microsoft frente a un problema de seguridad en la infraestructura de una autoridad certificadora. Aunque muchos usuarios ni siquiera notarán el cambio, los administradores de sistemas deberían aprovechar esta situación para revisar certificados, dependencias TLS y mecanismos de firma digital. Porque cuando la confianza digital se rompe, el problema no suele ser el certificado que deja de funcionar, sino el que sigue funcionando cuando ya no debería.
