La faille dans les certificats d’eMudhra a conduit Google, Mozilla, Apple et Microsoft à bloquer les certificats concernés entre le 17 et le 20 octobre 2026, après que des chercheurs ont récupéré les clés privées de signature de huit certificats intermédiaires. Google a également annoncé la suppression plus générale d’un certificat racine d’eMudhra, dont le déploiement sur les appareils s’appuyant sur le Chrome Root Store est prévu le 27 octobre.
À retenir
- Les clés privées de huit certificats intermédiaires étaient faciles à récupérer : six concernaient la sécurité des sites Web et deux la signature de code.
- Aucun certificat TLS rattaché aux six certificats intermédiaires concernés n’avait été consigné publiquement avant le blocage de Chrome ; l’exposition en dehors des mécanismes d’application de la transparence des certificats demeure incertaine.
- La suppression prévue du certificat racine par Chrome pourrait également perturber le fonctionnement de certificats légitimes et obliger les exploitants des sites concernés à les remplacer.
Table des matières
- Comment la faille dans les certificats d’eMudhra a compromis la confiance
- Ce que les blocages d’urgence ont établi — et ce qu’ils n’ont pas établi
- La suppression plus générale du certificat racine crée une échéance pour son remplacement
- Conclusion
Comment la faille dans les certificats d’eMudhra a compromis la confiance
Les clés concernées de l’autorité de certification basée en Inde ont été générées le 30 avril 2025. Dennis Jackson, ingénieur chez Mozilla, a indiqué que les huit clés utilisaient des entiers inférieurs à 256, ce qui les rendait récupérables presque instantanément, au lieu de fournir le caractère aléatoire attendu de clés cryptographiques sécurisées.
Mozilla a récupéré les clés de manière indépendante le 17 octobre, confirmant les conclusions du chercheur. La possession des clés de signature TLS concernées pourrait permettre à un attaquant de falsifier des certificats et d’usurper l’identité de sites Web auprès des clients faisant encore confiance à ces autorités.
Dans son compte rendu sur la cause première, eMudhra a attribué le problème à un script de génération de clés qui avait produit une seconde paire de clés, plus faible, portant une étiquette similaire. Cette paire a été utilisée par erreur pour la demande de signature de certificat, à la suite d’erreurs humaines intervenues à plusieurs étapes du processus.
| Élément | Détails |
|---|---|
| Chrome | A bloqué les clés publiques concernées le 17 octobre 2026. |
| Firefox | A achevé le blocage via OneCRL à 22:59 UTC le 17 octobre. |
| eMudhra | A révoqué les huit certificats concernés le 18 octobre. |
| Apple | A mis en œuvre le blocage le 19 octobre. |
| Microsoft | A mis en œuvre le blocage le 20 octobre. |
Ce que les blocages d’urgence ont établi — et ce qu’ils n’ont pas établi
Chrome a bloqué les clés publiques concernées au moyen de son mécanisme CRLSet, protégeant ainsi les utilisateurs sans nécessiter de mise à jour ni de redémarrage du navigateur. Firefox a déployé son blocage OneCRL le même jour, tandis qu’eMudhra a ensuite révoqué les huit certificats.
Google a indiqué qu’aucun certificat TLS rattaché aux six certificats intermédiaires concernés n’apparaissait dans les journaux de transparence des certificats avant le blocage. Il a donc déclaré que des certificats frauduleux émis par ces autorités n’auraient pas pu être utilisés contre des clients appliquant ces exigences de consignation, notamment Chrome.
Cette constatation ne permet pas d’établir si les clés ont été utilisées à mauvais escient ailleurs. Les logiciels autres que les navigateurs n’appliquent pas nécessairement la transparence des certificats et ne reçoivent pas forcément des mises à jour de blocage équivalentes ; l’ampleur d’une éventuelle exposition antérieure reste donc indéterminée.
La suppression plus générale du certificat racine crée une échéance pour son remplacement
L’annonce de protection des utilisateurs de Chrome et d’Android de Google évoquait également la suppression d’emSign ECC Root CA – G3 du Chrome Root Store. Le déploiement général était prévu le 27 octobre 2026, avec une disponibilité anticipée dans les versions préliminaires.
Cette mesure plus générale est importante, car certains certificats légitimes rattachés à cette racine cesseront eux aussi de fonctionner dans Chrome. Google a indiqué que les exploitants des sites Web concernés doivent obtenir et installer des certificats TLS de remplacement relevant d’une autre hiérarchie incluse dans son magasin de certificats racines, et qu’eMudhra s’était engagée à aider ses abonnés à migrer.
Google a également déclaré examiner si les autres autorités de certification d’eMudhra devaient continuer à figurer dans le Chrome Root Store. Cet examen était en cours ; il ne s’agissait pas d’une suppression achevée de toutes les autorités d’eMudhra.
Conclusion
Les blocages immédiats des certificats ont remédié au problème des clés faibles connues, mais les mesures correctives plus générales étaient toujours en cours. La prochaine étape prévue était le déploiement, le 27 octobre, de la suppression du certificat racine par Chrome, qui pourrait affecter les sites légitimes n’ayant pas remplacé les certificats rattachés à la racine supprimée.
Lire plus d’actualités
Plus d’actualités FinanceVelix
Avis de non-responsabilité
Cet article de FinanceVelix fournit des informations générales et ne constitue pas un conseil financier, d’investissement, juridique ou fiscal personnalisé. Les cours du marché, les taux d’intérêt et la conjoncture économique peuvent évoluer ; les investissements comportent un risque de perte. Les faits reflètent les informations disponibles au moment de la publication et sont susceptibles d’évoluer. Vérifiez les informations importantes de manière indépendante et consultez un professionnel qualifié si nécessaire. La mention d’un actif, d’une entreprise ou d’un service ne constitue pas une recommandation.
