if ( !emtpy($headline_subheadline ) ) : ?>
Les chercheurs ont récupéré les clés privées de huit autorités de certification intermédiaires eMudhra en quelques secondes, permettant ainsi une falsification potentielle des certificats et une usurpation d’identité sur un site Web.
endif; ?>
Les clés privées associées à huit autorités de certification intermédiaires exploitées par le fournisseur indien de confiance numérique eMudhra ont été compromises, permettant potentiellement aux attaquants de falsifier des certificats de confiance et d’usurper l’identité de sites Web ou de services, selon Google et Mozilla.
« Le 17 octobre à 20h06 UTC, Mozilla a reçu un rapport à certificates@mozilla.org, transmis par le programme Chrome Root, indiquant que la clé privée de 8 certificats eMudhra Intermediate a été compromise », a écrit Dennis Jackson, membre de l’équipe d’ingénierie de Mozilla, dans un rapport de bogue public de Mozilla. « Un attaquant disposant de la clé privée de l’une des autorités de certification intermédiaires compromises pourrait usurper l’identité de n’importe quel site Web ou service. »
Mozilla a récupéré les clés de manière indépendante plus tard dans la journée, confirmant qu’elles étaient vulnérables.
« Mozilla a pu récupérer les clés privées des certificats concernés de manière indépendante à 21h48 UTC et sans aucune connaissance de la méthode utilisée par le journaliste d’origine », a ajouté Jackson dans le rapport. Il a déclaré que la récupération a confirmé que « le processus de génération de clé était défectueux et facile à exploiter ».
Le rapport a été soumis par un chercheur identifié comme Wayne et transmis par le programme Chrome Root. Mozilla l’a reconnu et a ensuite commencé à bloquer les certificats concernés dans Firefox.
eMudhra a reconnu le rapport et a déclaré qu’il enquêtait, selon le rapport de Mozilla.
« L’une des clés privées de l’autorité de certification d’eMudhra est le numéro 4 », a écrit le chercheur en sécurité Scott Helme dans une analyse distincte. Deux autres clés avaient des valeurs de 56 et 115, a-t-il précisé. Helme a récupéré les huit de leurs certificats publics en moins d’une seconde.
Selon le blog de sécurité de Google, six des huit certificats intermédiaires concernés étaient destinés à Transport Layer Security (TLS), que les navigateurs et les applications utilisent pour authentifier les sites Web et établir des connexions cryptées. Les deux autres étaient destinés à la signature de code.
« Les clés privées de ces certificats ont été générées avec un caractère aléatoire insuffisant (c’est-à-dire une faible entropie cryptographique), permettant à quiconque de forger des certificats HTTPS de confiance pour usurper l’identité de n’importe quel site Web auprès de clients qui n’ont pas encore retiré leur confiance dans ces autorités de certification », a ajouté Google dans le billet de blog.
Blocages du navigateur et exposition de l’entreprise
Le programme racine Chrome de Google a reçu un rapport et a déployé une mise à jour de l’ensemble de listes de révocation Chrome bloquant les autorités intermédiaires concernées, selon le blog de sécurité de l’entreprise.
« Les utilisateurs de Chrome ont été immédiatement protégés contre tous les certificats partageant ces clés, sans nécessiter de mise à jour ou de redémarrage du navigateur », a ajouté Google dans le billet de blog. Les appareils Android et les Chromebooks ont également reçu une mise à jour équivalente via les services Google Play.
Google a déclaré qu’aucun certificat TLS lié aux six intermédiaires concernés n’apparaissait dans les journaux de transparence des certificats avant l’action de blocage. Il a déclaré qu’aucun certificat frauduleux émis par ces autorités n’aurait pu être utilisé contre des clients appliquant la transparence des certificats, y compris la configuration par défaut de Chrome.
Mozilla a déclaré dans son article de blog sur la sécurité qu’il avait achevé la distribution de son bloc OneCRL aux utilisateurs de Firefox avec des configurations standard. Mozilla a également annoncé des mises à jour pour les utilisateurs dont les paramètres personnalisés auraient pu les empêcher de recevoir le blocage.
Google a déclaré avoir supprimé du Chrome Root Store le certificat emSign ECC Root CA – G3, qui signait les intermédiaires concernés. Le changement devait atteindre tous les appareils dépendant de ce magasin le 27 octobre.
Les applications d’entreprise font l’objet de contrôles distincts
Yash Kadakia, fondateur et directeur technique de Security Brigade, estime qu’environ 30 000 certificats légitimes devraient être migrés. Il a déclaré que les sites Web du gouvernement et du secteur public utilisant la hiérarchie concernée pourraient faire face à des avertissements de navigateur ou à des interruptions d’accès si les certificats de remplacement n’étaient pas installés à temps.
« Il ne s’agit pas seulement de huit clés compromises. Il s’agit de la chaîne de confiance mondiale de l’Internet », a déclaré Kadakia. « La défaillance d’une seule autorité peut compromettre l’authentification d’organisations qui n’y ont jamais eu affaire. »
Kadakia a déclaré que les équipes de sécurité de l’entreprise devraient vérifier les passerelles de paiement, les intégrations des fournisseurs, les anciennes applications Java, les applications mobiles et les appareils réseau, qui peuvent utiliser des magasins de certificats de confiance distincts des navigateurs.
« Les équipes de sécurité doivent identifier à la fois les certificats présentés par leurs services et les autorités de certification auxquelles leurs applications font confiance », a-t-il déclaré. Il a conseillé aux organisations de vérifier si les clients concernés rejettent les certificats signés par les clés compromises, y compris les chaînes à signature croisée.
Cloudflare a déclaré dans son rapport d’incident du 20 octobre avoir pris connaissance de la compromission le 19 octobre et déployé des mesures d’atténuation sur son réseau de diffusion de contenu, ses services de développement et ses produits Zero Trust. Il a également mis à jour les magasins de confiance partagés et les images de base et publié des mises à jour pour les clients Cloudflare One et Cloudflare Tunnel.
« Notre examen de sécurité n’a pas identifié d’exploitation active de ce problème sur les services Cloudflare », a indiqué la société dans son rapport.
eMudhra dit qu’aucun certificat d’entité finale n’a été émis
eMudhra, dans sa déclaration d’incident, a déclaré que les autorités intermédiaires concernées ont été créées lors d’une cérémonie de génération de clés en avril 2025. Il a déclaré que l’incident n’a pas affecté ses clés privées CA racine ou d’autres autorités intermédiaires.
« Aucune de ces autorités de certification intermédiaires, y compris celle déployée en production, n’a délivré de certificat d’entité finale », a indiqué la société. L’entreprise a déclaré que son analyse interne était corroborée par les dossiers publics de transparence des certificats et qu’elle enquêtait sur l’incident et révisait ses contrôles de sécurité.
Kadakia a déclaré que l’absence de certificats d’entité finale délivrés était rassurante, mais a noté qu’une personne détenant une clé intermédiaire compromise pourrait générer des certificats frauduleux sans les demander à eMudhra.
eMudhra n’a pas immédiatement répondu à une demande de commentaire.
