Une faille de sécurité chez eMudhra entraîne le blocage de certificats numériques
Huit clés privées de certificats intermédiaires générées par l'autorité indienne eMudhra présentaient des faiblesses critiques, forçant les navigateurs et outils de développement à réagir.
L'autorité de certification indienne eMudhra a admis une faille critique dans le processus de génération des clés privées pour huit de ses certificats intermédiaires. Ces clés, basées sur la courbe P-384, étaient si peu aléatoires qu'elles pouvaient être reconstruites facilement. Une telle vulnérabilité permettait théoriquement à un attaquant de générer de faux certificats HTTPS et d'intercepter des communications chiffrées.
Les principaux acteurs du web, dont Google, Mozilla et Apple, ont révoqué les certificats concernés en urgence. Mozilla a diffusé un blocage via OneCRL en moins de trois heures, tandis que Google a mis à jour les bases de données CRLSet de Chrome. L'incident a également contraint les mainteneurs d'outils comme Go, Python et Rust à mettre à jour leurs bibliothèques de confiance pour exclure les clés compromises.
eMudhra a déclaré que le problème remonte à une cérémonie de génération de clés en avril 2025. Selon l'entreprise, la majorité des certificats n'ont jamais été utilisés en production et aucun certificat final n'a été émis avec ces clés. Une enquête interne est en cours pour déterminer les causes de cette défaillance.
Les experts en sécurité soulignent que le danger persiste pour les applications qui utilisent leurs propres magasins de certificats. Il est recommandé aux utilisateurs et aux développeurs de mettre à jour tous les logiciels dépendant de certificats TLS pour s'assurer que les chaînes de confiance sont bien purgées des éléments compromis.