Firefox y eMudhra: la protección de OneCRL y la actualización del navegador cumplen funciones distintas
Mozilla describe el bloqueo de certificados y una corrección adicional para Android. Para comprobar el aviso hay que conservar la plataforma y la fecha, además del número de versión.
Mozilla publicó el 20 de octubre un aviso sobre el compromiso de claves de ocho certificados intermedios de eMudhra. Según su equipo de seguridad, podrían utilizarse para emitir certificados HTTPS fraudulentos y suplantar sitios si un atacante consiguiera interceptar la conexión. El aviso describe una posibilidad técnica, no demuestra que cualquier usuario haya sufrido una intrusión.
La respuesta inicial fue bloquear los certificados afectados mediante OneCRL. Mozilla afirma que esa distribución terminó el 17 de octubre para Firefox con configuraciones estándar y que no exigía actualizar ni reiniciar el navegador. En paralelo, las versiones que anunció el día 20 incorporaban protección para una minoría de configuraciones que podía haber impedido recibir aquella lista.
El comunicado añadió el 21 de octubre una corrección específica: Firefox para Android 158.0.2 abordaba casos en los que algunos clientes no aplicaban inmediatamente al arrancar los cambios de la lista incluida. No conviene convertir ese número de Android en una instrucción de versión para el escritorio. Tampoco presentamos las versiones citadas en el aviso como las más recientes para cualquier fecha posterior.
Para leer este incidente proponemos una ficha con cuatro campos: sistema utilizado, versión instalada, fecha del aviso y mecanismo al que se refiere cada solución. Una afirmación sobre recepción de una lista puede coexistir con una actualización posterior del programa. Comprobar uno de esos campos no acredita automáticamente los otros tres.
Ejemplo propio: una persona copia de una noticia un número de Android y lo busca en su ordenador. La discrepancia no prueba que el equipo esté desprotegido; antes debe contrastar que se refiere a la misma plataforma. Esta explicación no inspecciona dispositivos, confirma la recepción de OneCRL ni evalúa conexiones personales. El alcance real depende de la documentación y configuración correspondientes.