Mitmproxy, una popular herramienta de línea de comandos para interceptar e inspeccionar tráfico HTTPS, ha lanzado la versión 12.3 con una característica específica que aborda una brecha de seguridad relacionada con eMudhra. La actualización incluye una nueva bandera `--emudhra` que permite al proxy firmar los certificados de hoja generados utilizando una de las claves de CA intermedias de eMudhra comprometidas. Esta funcionalidad está diseñada para escenarios donde un usuario necesita interceptar el tráfico de un dispositivo o cliente que todavía confía en la autoridad de certificación comprometida porque no ha sido actualizado a un almacén de confianza más reciente.
En circunstancias normales, mitmproxy requiere que el usuario instale su propio certificado de CA local en el almacén de confianza de un dispositivo para inspeccionar el tráfico cifrado. Sin embargo, debido a que las claves privadas de eMudhra fueron divulgadas públicamente, cualquier cliente que todavía reconozca la CA de eMudhra confiará automáticamente en los certificados firmados con esas claves. Al utilizar la opción `--emudhra`, mitmproxy puede aprovechar estas claves comprometidas para omitir la necesidad de instalar manualmente un certificado en el dispositivo objetivo. Para clientes antiguos que confían en la raíz cruzada de Sectigo, la actualización también incluye una opción `--emudhra-old` para asegurar que se presente correctamente la cadena de certificados primero en el saludo TLS.
Esta imagen representa la actualización oficial del proyecto en GitHub donde se introdujo la nueva funcionalidad.
Si bien esta característica proporciona un mecanismo para probar y depurar hardware antiguo, también resalta un riesgo de seguridad significativo. Las notas de lanzamiento aclaran que mitmproxy ha actualizado simultáneamente su almacén de confianza interno (a través de la dependencia `certifi`) para desconfiar de las raíces de eMudhra afectadas en las conexiones salientes. Esto garantiza que, aunque la herramienta pueda usarse para interceptar el tráfico de clientes 'vulnerables', no confíe inadvertidamente en la CA comprometida cuando el propio proxy inicia una conexión a un servidor ascendente. Este enfoque de doble cara permite una interceptación dirigida manteniendo una base de seguridad para el tráfico saliente propio del proxy.
Un matiz técnico involucra las rutas de raíz específicas utilizadas para estos certificados. La emSign ECC Root CA (G3) ha estado presente en los almacenes de confianza modernos desde 2018, mientras que la raíz más antigua de Sectigo AAA Certificate Services ha estado presente desde 2004. Debido a que los clientes basados en OpenSSL normalmente solo procesan el primer certificado en una cadena, la bandera `--emudhra-old` es necesaria para dispositivos que solo reconocen la ruta antigua de Sectigo, ya que la ruta de emSign puede haber sido eliminada de algunos almacenes de confianza tan recientemente como a finales de 2026. Esta distinción asegura que la herramienta siga siendo efectiva en una amplia gama de entornos de hardware y software heredados.
Más allá de los cambios específicos de eMudhra, la versión 12.3 introduce varias mejoras de usabilidad en mitmweb, la interfaz basada en web para mitmproxy. Estas incluyen un nuevo tema oscuro, columnas de tabla de flujo redimensionables y configurables, y etiquetas de códigos de estado en color. Estas actualizaciones tienen como objetivo mejorar la claridad visual y la navegación de la tabla de flujo, que es la interfaz principal para monitorear y analizar el tráfico de red interceptado en tiempo real.
En última instancia, la adición de la opción `--emudhra` sirve como una herramienta especializada para investigadores de seguridad y desarrolladores que trabajan con sistemas heredados. Al proporcionar una forma de explotar un compromiso de CA conocido para fines de prueba legítimos, mitmproxy permite la inspección de dispositivos que, de otro modo, serían difíciles de interceptar debido a configuraciones de confianza desactualizadas. Sin embargo, las actualizaciones internas de la herramienta para desconfiar de estas mismas claves sirven como un recordatorio de la necesidad continua de rotar y actualizar los almacenes de confianza en entornos de producción para mitigar el impacto de tales divulgaciones de claves.