Consejo de Seguridad: Compromiso de la Autoridad de Certificación Intermedia eMudhra

Resumen Ejecutivo

Elo Touch Solutions está monitoreando y abordando activamente una vulnerabilidad criptográfica en toda la industria que involucra a eMudhra Technologies Limited, una autoridad de certificación comercial (CA). El 17 de octubre de 2026, investigadores de seguridad divulgaron que las claves privadas asociadas con ocho certificados de CA intermedios operados por eMudhra fueron generadas con defectos criptográficos críticos (entropía extremadamente débil de solo 3 a 8 bits), lo que permitía a terceros deducir inmediatamente las claves privadas de firma.

El impacto potencial para los clientes de Elo está aislado a las líneas de productos de Android y Windows para empresas de Elo. Es importante entender el alcance de la protección automática:

• Dispositivos Android 14 GMS: Protegidos mediante una actualización de emergencia de Google Play Services lanzada el 19 de octubre de 2026.
• Dispositivos Windows: Protegidos mediante la actualización de la Lista de Confianza de Certificados No Permitidos de Microsoft Windows el 20 de octubre de 2026, y una actualización automática de CRLSet para Microsoft Edge y WebView2.
• Android 13 y versiones anteriores, compilaciones solo AOSP y dispositivos no GMS: No protegidos automáticamente. Los administradores deben aplicar el plan de mitigación manual descrito en este aviso hasta que se publique y se instale una actualización oficial del firmware del sistema operativo Elo que incorpore el próximo parche de Google.

No hay otros productos de Elo afectados. La infraestructura corporativa de Elo, los servicios en la nube (EloView, Elo Radar y Elo Remote), y los sistemas internos no están comprometidos. En el momento de este consejo, no se han reportado intentos de explotación activa contra los clientes de Elo.

Resumen rápido

• Problema: Se reveló un defecto criptográfico crítico que involucra a ocho Autoridades de Certificación Intermedias de eMudhra, lo que podría permitir a los atacantes falsificar sitios web seguros o forjar firmas confiables.
• Impacto: El impacto está limitado a los dispositivos Android y Windows para empresas de Elo; todos los demás productos y soluciones de Elo no se ven afectados. Esta vulnerabilidad se originó estrictamente dentro del proceso de generación de claves externas de eMudhra. La infraestructura, las plataformas en la nube, y los sistemas internos de Elo están completamente seguros y no comprometidos.
• Resolución para Android (Android 14 GMS): La protección ha sido implementada silenciosamente y automáticamente mediante actualizaciones en segundo plano de los Servicios de Google Play y del navegador. No se requiere flasheo de firmware ni acción manual.
• Resolución para Android (Otras versiones): Para Android 13 y versiones anteriores, AOSP y no-GMS, Google proporcionará una actualización de parche que Elo integrará posteriormente en una actualización de firmware del sistema operativo. Hasta entonces, use el plan de mitigación manual a continuación.
• Resolución para Windows: Actualizaciones totalmente automatizadas de la Lista de Certificados No Permitidos de Windows y CRLSet bloquean las claves comprometidas automáticamente.

Análisis de Impacto Detallado por Arquitectura en Android

1. Navegadores Web en Android (Google Chrome)

Chrome gestiona su propia tienda raíz independiente y no confía en la tienda de confianza del sistema operativo Android subyacente. Chrome ha lanzado actualizaciones internas silenciosas para bloquear los certificados comprometidos a través de su lista interna de revocación (CRLSet). Además, la aplicación nativa de Transparencia de Certificados (CT) de Chrome rechazará inmediatamente cualquier intento de presentar un certificado falsificado porque no se registraron certificados legítimos antes de la revocación.

2. Aplicaciones Nativas de Android que utilizan WebView

Las aplicaciones que utilizan la API de control WebView (como el Controlador WebView de Elo) requieren actualizaciones a nivel de sistema:

• En dispositivos Android 14 GMS: Los Servicios de Google Play añadieron automáticamente los ocho hashes de clave pública comprometidos a la lista de bloqueo del sistema seguro de Android. La validación técnica mostró que esta lista de bloqueo llegó dentro de un segundo de conexión a Internet en dispositivos restaurados de fábrica.
• En otras versiones de Android/AOSP: No hay actualizaciones a nivel de sistema disponibles a través de los Servicios de Play. Estos dispositivos siguen siendo vulnerables hasta que se aplique la próxima actualización de firmware del sistema operativo Elo.

Plan de Mitigación Manual

Requerido para dispositivos Android 13 y versiones anteriores, solo AOSP y no-GMS que operan en redes restringidas.

Control Compensatorio a Nivel de Red

Para grandes flotas empresariales, se recomienda encarecidamente bloquear conexiones entrantes/salientes que presenten certificados firmados por las claves intermedias comprometidas de eMudhra en su puerta de enlace web segura o firewall corporativo (p. ej., Zscaler, Palo Alto Networks, Fortinet).

Procedimiento de Desactivación de Certificados Manual

1. Navegue a Configuraciones > Seguridad (o Seguridad & Privacidad > Más Configuraciones de Seguridad).
2. Seleccione Encriptación & credenciales > Credenciales de confianza.
3. Bajo la pestaña Sistema, ubique y active Deshabilitar en los siguientes dos certificados raíz (cubre tanto variantes directas como cruzadas):
   • emSign ECC Root CA - G3 (Listada bajo eMudhra Technologies Limited)
   • AAA Certificate Services (Listada bajo Comodo CA Limited)

Nota: Deshabilitar estas raíces asegura TLS del sistema Android y aplicaciones WebView. Navegadores independientes como Chrome seguirán dependiendo de sus propias actualizaciones internas automáticas.

Puntos de Verificación y Pruebas

Los administradores de seguridad pueden validar la configuración de seguridad de dispositivos y redes locales utilizando los siguientes puntos de prueba independientes:

• Prueba Intermedia Comprometida Principal: https://dv-g3b-emudhra.we-have-a-problem.com/
• Referencia General de Incidentes y Conjunto de Pruebas: https://emudhra.we-have-a-problem.com/

Otros Productos y Servicios de Elo

Las pantallas táctiles interactivas Elo, señalización, sistemas de punto de venta, periféricos y herramientas de gestión de backend no utilizan ni confían en las cadenas de certificados de eMudhra afectadas y están completamente no afectadas. Los servicios en la nube de Elo (incluido EloView, Elo Radar y Elo Remote) no utilizan certificados emitidos por eMudhra.

Referencias & Recursos

• Respuesta de Microsoft a las Claves de Autoridad de Certificación eMudhra Comprometidas
• Blog de Seguridad de Google: Protegiendo a los Usuarios de Chrome y Android de los Certificados CA Intermedios Comprometidos de eMudhra

Renuncia: Los tiempos de entrega de actualizaciones varían según la región, modelo de dispositivo y proveedor externo. Algunas actualizaciones pueden requerir que el sistema operativo esté ejecutando la última versión de mantenimiento antes de que se aplique la solución. Este consejo se proporciona "tal como está" solo con fines informativos; Elo Touch Solutions renuncia a todas las garantías, ya sean expresas o implícitas, incluidas las garantías implícitas de comerciabilidad y aptitud para un propósito particular. Elo se reserva el derecho de actualizar este consejo a medida que se disponga de información adicional.