Huit clés de signature compromises de l’autorité de certification indienne eMudhra ont révélé un écart entre les protections des navigateurs et les logiciels qui fonctionnent en arrière-plan des sites Web et des outils de trading. Au 21 octobre, les principaux éditeurs de navigateurs avaient bloqué les certificats concernés, mais certains programmes hors navigateur pouvaient encore accepter des identifiants contrefaits, car ils ne vérifient pas si les certificats ont été révoqués.
Points clés
- Des chercheurs ont retrouvé huit clés privées faibles qui pouvaient servir à signer des certificats usurpant l’identité de sites Web de confiance.
- Les éditeurs de navigateurs ont bloqué les certificats concernés, mais la révocation, à elle seule, ne protège pas les logiciels qui ne la vérifient jamais.
- Aucune attaque visant les cryptomonnaies n’avait été signalée ; le problème concerne les logiciels obsolètes dans l’ensemble d’Internet.
Table des matières
- Les risques qui subsistent après la compromission des clés d’eMudhra
- Quelles protections étaient parvenues aux utilisateurs ?
- Comment des clés faibles ont compromis la vérification des sites Web
- Pourquoi les logiciels de trading nécessitent une attention particulière
- Conclusion
Les risques qui subsistent après la compromission des clés d’eMudhra
La distinction essentielle se situe entre la révocation d’un certificat et la garantie que les logiciels refusent de lui faire confiance. eMudhra a révoqué les certificats concernés, mais le chercheur en sécurité Scott Helme a averti que cette mesure n’offre aucune protection aux programmes qui ne vérifient pas le statut de révocation.
Helme a indiqué que ses tests montraient que curl, Python, Node, Go et Java acceptaient un certificat contrefait pour l’API de Stripe. Il s’agissait d’une démonstration de l’acceptation d’un certificat, et non d’une preuve que Stripe avait été compromis.
Un certificat frauduleux peut permettre à un intercepteur réseau d’usurper l’identité d’un service de confiance et de lire ou modifier le trafic. Les blocages appliqués par les navigateurs protègent contre cette voie dans les navigateurs concernés ; ils ne garantissent pas que chaque application distincte ou système dorsal bénéficie d’une protection équivalente.
| Élément | Détails |
|---|---|
| Mozilla et Chrome | Les deux ont bloqué les certificats concernés le 17 octobre ; le blocage de Mozilla a suivi le signalement d’environ trois heures. |
| Apple | A suivi avec sa réponse le 19 octobre. |
| Microsoft | A suivi le 20 octobre. |
| Révocation des certificats | eMudhra a révoqué les certificats concernés, mais cette mesure n’est utile que si les logiciels vérifient la révocation. |
| Correctifs disponibles hors navigateur | Des correctifs étaient disponibles pour Go, le paquet certifi de Python et webpki-roots de Rust. |
| Node.js | Un correctif était toujours en attente au 21 octobre. |
Quelles protections étaient parvenues aux utilisateurs ?
La réponse a commencé après qu’un chercheur nommé Wayne a alerté les éditeurs de navigateurs le 17 octobre. Il a démontré qu’il contrôlait les huit clés compromises en les utilisant pour signer numériquement son avertissement. La disponibilité de correctifs ne signifiait pas que toutes les installations avaient été mises à jour.
Comment des clés faibles ont compromis la vérification des sites Web
Les autorités de certification fournissent les justificatifs que les navigateurs utilisent pour vérifier l’identité des sites Web. Leurs clés privées de signature sont donc assorties d’une responsabilité différente de celle d’un simple mot de passe de site Web : une clé de signature compromise peut servir à produire des certificats d’apparence authentique pour d’autres sites.
Helme a déclaré avoir retrouvé les huit clés à partir de certificats publics en moins d’une seconde. Parmi les valeurs de clés privées qu’il a identifiées figuraient 4 et 56, ce qui illustre la très faible résistance des clés à leur récupération. Selon lui, elles étaient exposées depuis avril 2025.
D’après l’interprétation par Helme d’un ticket de bogue de Mozilla, eMudhra a attribué le problème à un bogue dans son script de configuration des clés.
Pourquoi les logiciels de trading nécessitent une attention particulière
Pour les utilisateurs de cryptomonnaies, le risque ne se limite pas à l’ouverture d’une plateforme d’échange dans un navigateur. Les bots de plateforme d’échange, les scripts de trading et les systèmes dorsaux de portefeuilles peuvent dépendre des logiciels hors navigateur concernés. En théorie, un certificat d’API de plateforme d’échange contrefait pourrait permettre à un attaquant présent sur le même réseau d’intercepter ou de modifier le trafic d’un bot.
Aucune attaque visant les cryptomonnaies n’avait été signalée. Mudit Gupta, directeur technique de Polygon Labs, a déclaré que la vulnérabilité relevait d’un problème général de sécurité logicielle, et non d’un problème propre aux cryptomonnaies, et que les logiciels anciens ou non corrigés suscitaient une préoccupation particulière. Il a indiqué que les utilisateurs qui maintenaient à jour leurs portefeuilles, outils de trading et appareils étaient moins exposés.
Conclusion
La réaction des navigateurs a fermé une voie immédiate d’usurpation de certificats, mais elle n’a pas réglé le problème plus général des logiciels. Le risque résiduel dépend de la capacité de chaque outil à rejeter les justificatifs compromis, et non simplement de la révocation des certificats par l’émetteur.
Lire d’autres actualités
Plus d’actualités FinanceVelix
Avertissement
Cet article de FinanceVelix fournit des informations générales et ne constitue pas un conseil personnalisé en matière financière, d’investissement, juridique ou fiscale. Les cours du marché, les taux d’intérêt et la conjoncture économique peuvent évoluer ; tout investissement comporte un risque de perte. Les faits reflètent les informations disponibles au moment de la publication et peuvent changer. Vérifiez les informations importantes de manière indépendante et consultez un professionnel qualifié si nécessaire. La mention d’un actif, d’une entreprise ou d’un service ne constitue pas une recommandation.
