eMudhra se retire du marché des certificats TLS suite à une faille de sécurité
L'entreprise indienne eMudhra a décidé de quitter le secteur des certificats TLS après la découverte d'une vulnérabilité critique dans son processus de génération de clés.
Fin octobre, Google et d'autres éditeurs de navigateurs ont révoqué la confiance accordée au certificat racine emSign ECC Root CA – G3 d'eMudhra. Cette mesure fait suite à la révélation d'une faille cryptographique majeure : les clés privées générées par l'entreprise étaient si faibles qu'elles pouvaient être facilement devinées, en raison d'une erreur de script lors d'une cérémonie de génération de clés en avril 2025.
Les géants du web ont réagi rapidement pour bloquer les certificats concernés. Bien qu'eMudhra affirme que cette activité ne représente qu'environ 1 % de son chiffre d'affaires, le conseil d'administration a choisi d'abandonner totalement le segment des certificats TLS. Le cofondateur Kaushik Srinivasan a qualifié l'incident d'erreur isolée, tout en notant que la faille avait échappé à deux cycles d'audit externe.
Les autorités indiennes, notamment le ministère de l'Informatique et le CERT-In, ont ouvert une enquête sur cette affaire. Au-delà de l'arrêt de l'activité TLS, cette situation soulève des questions sur la régulation et la responsabilité des autorités de certification dans un pays où eMudhra joue un rôle clé dans les services de signature électronique gouvernementaux.