Aviso de Seguridad: Compromiso de la Autoridad de Certificación Intermedia eMudhra

Resumen Ejecutivo

Elo Touch Solutions está monitoreando y abordando activamente una vulnerabilidad criptográfica en toda la industria involucrando a eMudhra Technologies Limited, una Autoridad de Certificación (CA) comercial. El 17 de octubre de 2026, investigadores de seguridad revelaron que las claves privadas asociadas con ocho certificados de CA intermedios operados por eMudhra fueron generadas con defectos criptográficos críticos (entropía extremadamente baja de solo 3 a 8 bits), permitiendo a terceros deducir inmediatamente las claves privadas de firma.

El impacto potencial para los clientes de Elo se limita a las líneas de productos empresariales Android y Windows de Elo. Es importante entender el alcance de la protección automática:

• Dispositivos Android 14 GMS: Protegidos a través de una actualización de emergencia de Google Play Services enviada el 19 de octubre de 2026.
• Dispositivos Windows: Protegidos a través de la actualización de la Lista de Confianza de Certificados No Permitidos de Microsoft Windows el 20 de octubre de 2026, y una actualización automática de CRLSet para Microsoft Edge y WebView2.
• Android 13 y anteriores, versiones solo AOSP, y dispositivos no GMS: No protegidos automáticamente. Los administradores deben aplicar el plan de mitigación manual descrito en este aviso hasta que se publique e instale una actualización oficial del firmware del sistema operativo Elo que incorpore el próximo parche de Google.

No se ven afectados otros productos de Elo. La infraestructura corporativa de Elo, servicios en la nube (EloView, Elo Radar y Elo Remote), y sistemas internos no están comprometidos. Al momento de este aviso, no ha habido informes de explotación activa contra los clientes de Elo.

Resumen Rápido

• Problema: Se reveló una falla criptográfica crítica que involucra a ocho Autoridades de Certificación intermedias de eMudhra, lo que podría permitir a los atacantes suplantar sitios web seguros o falsificar firmas de confianza.
• Impacto: El impacto se limita a los dispositivos empresariales Android y Windows de Elo; todos los demás productos y soluciones de Elo no se ven afectados. Esta vulnerabilidad se originó estrictamente dentro del proceso externo de generación de claves de eMudhra. La infraestructura de Elo, plataformas en la nube y sistemas internos están completamente seguros y no comprometidos.
• Resolución para Android (Android 14 GMS): La protección se ha entregado de manera silenciosa y automática a través de actualizaciones en segundo plano de Play Services y del navegador. No se requiere ningún flasheo de firmware o acción manual.
• Resolución para Android (Otras Versiones): Para Android 13 y anteriores, AOSP y no GMS, Google proporcionará una actualización de parche que Elo integrará posteriormente en una actualización de firmware del sistema operativo. Hasta entonces, utilice el plan de mitigación manual a continuación.
• Resolución para Windows: Actualizaciones totalmente automáticas a la Lista de Confianza de Certificados No Permitidos de Windows y CRLSet bloquean automáticamente las claves comprometidas.

Análisis de Impacto Detallado por Arquitectura en Android

1. Navegadores Web en Android (Google Chrome)

Chrome gestiona su propia tienda raíz independiente y no depende de la tienda de confianza del sistema operativo Android. Chrome ha enviado actualizaciones internas silenciosas para bloquear los certificados comprometidos a través de su lista interna de revocación (CRLSet). Además, la aplicación nativa de Transparencia de Certificados (CT) de Chrome rechazará instantáneamente cualquier intento de presentar un certificado falsificado, ya que no se registraron certificados legítimos antes de la revocación.

2. Aplicaciones Nativas de Android que usan WebView

Las aplicaciones que utilizan la API de control WebView (como el Controlador WebView de Elo) requieren actualizaciones a nivel de sistema:

• En dispositivos Android 14 GMS: Google Play Services agregó automáticamente los ocho hash de claves públicas comprometidas a la lista negra segura del sistema de Android. La validación técnica mostró que esta lista negra llegó dentro de un segundo de conexión a Internet en dispositivos con restablecimiento de fábrica.
• En otras versiones de Android/AOSP: Las actualizaciones a nivel de sistema no están disponibles a través de Play Services. Estos dispositivos permanecen vulnerables hasta que se aplique la próxima actualización del firmware del sistema operativo Elo.

Plan de Mitigación Manual

Requerido para Android 13 y anteriores, solo AOSP, y dispositivos no GMS que operan en redes restringidas.

Control Compensatorio a Nivel de Red

Para grandes flotas empresariales, se recomienda encarecidamente bloquear conexiones entrantes/salientes que presenten certificados firmados por las claves intermedias comprometidas de eMudhra en su puerta de enlace web segura o firewall corporativo (por ejemplo, Zscaler, Palo Alto Networks, Fortinet).

Procedimiento Manual para Desactivar Certificados

1. Navegue a Configuración > Seguridad (o Seguridad & Privacidad > Más configuraciones de seguridad).
2. Seleccione Encriptación & credenciales > Credenciales confiables.
3. En la pestaña Sistema, localice y active Desactivar en los siguientes dos certificados raíz (cubre tanto las variantes directas como las cruzadas):
   • emSign ECC Root CA - G3 (Listado bajo eMudhra Technologies Limited)
   • AAA Certificate Services (Listado bajo Comodo CA Limited)

Nota: Desactivar estas raíces asegura TLS del sistema Android y aplicaciones de WebView. Los navegadores independientes como Chrome continuarán dependiendo de sus propias actualizaciones internas automáticas.

Puntos de Verificación y Pruebas

Los administradores de seguridad pueden validar la configuración de seguridad de red y de dispositivos locales utilizando los siguientes puntos de prueba independientes:

• Prueba Intermedia Comprometida Principal: https://dv-g3b-emudhra.we-have-a-problem.com/
• Referencia General de Incidentes y Suite de Pruebas: https://emudhra.we-have-a-problem.com/

Otros Productos y Servicios de Elo

Las pantallas táctiles interactivas de Elo, señalización, sistemas de punto de venta, periféricos y herramientas de gestión de backend no utilizan ni confían en las cadenas de certificados de eMudhra afectadas y están completamente libres de afectaciones. Los servicios en la nube de Elo (incluyendo EloView, Elo Radar y Elo Remote) no utilizan certificados emitidos por eMudhra.

Referencias y Recursos

• Respuesta de Microsoft a las Claves de Autoridad de Certificación eMudhra Comprometidas
• Blog de Seguridad de Google: Protegiendo a los Usuarios de Chrome y Android de Certificados CA Intermedios de eMudhra Comprometidos

Descargo de Responsabilidad: Los tiempos de entrega de actualizaciones varían según la región, modelo del dispositivo y proveedor externo. Algunas actualizaciones pueden requerir que el sistema operativo esté ejecutando la última versión de mantenimiento antes de que se aplique la solución. Este aviso se proporciona "tal cual" con fines informativos; Elo Touch Solutions rechaza todas las garantías, ya sean expresas o implícitas, incluidas las garantías implícitas de comerciabilidad y idoneidad para un propósito particular. Elo se reserva el derecho de actualizar este aviso a medida que haya más información disponible.