Il suffisait d’un ordinateur portable ordinaire et d’un quart de seconde pour casser le chiffrement de millions de connexions. L’autorité de certification indienne eMudhra a déclenché une panique générale au sein de l’écosystème numérique après la compromission avérée des clés privées de huit de ses certificats intermédiaires. La cause du désastre ne relève pas d’une attaque étatique sophistiquée, mais d’une bévue cryptographique grotesque : l’une des clés secrètes régissant ces certificats d’authentification avait pour simple valeur mathématique le chiffre 4. Conséquence, eMudhra abandonne le business.
💡 C’est quoi un certificat intermédiaire ?
Sur le web chiffré (HTTPS), un certificat intermédiaire agit comme une procuration signée par une autorité racine reconnue. Détenir sa clé privée équivaut à posséder le tampon officiel des douanes numériques : un attaquant peut fabriquer en quelques secondes un faux certificat indétectable pour n’importe quel nom de domaine, intercepter le trafic en clair, signer du code malveillant ou usurper l’identité de serveurs bancaires et gouvernementaux.
Il n’y a pas que l’affaire PHP qui secoue le web cette semaine. D’ailleurs, eMudhra a annoncé jeudi 22 octobre qu’elle se retirait du marché mondial des certificats SSL/TLS. Ce retrait intervient quelques jours après la découverte par des chercheurs que huit de ses certificats intermédiaires avaient des clés privées que n’importe qui pouvait déduire.
Deux cent cinquante-six essais pour casser les fondations d’Internet
Le cauchemar a débuté par un message laconique envoyé aux équipes de sécurité par un chercheur signant sous le pseudonyme de Wayne : « We have a problem here ». Preuve à l’appui, l’ingénieur fournissait les huit signatures attestant de son contrôle total sur les clés maîtresses. Dans la foulée, le rapport d’incident ouvert sur Bugzilla par Mozilla a révélé l’impensable : chacune des clés privées sur courbe elliptique P-384 était en réalité un nombre entier inférieur à 256. Un espace de recherche si ridicule qu’un script basique pouvait brute-forcer la clé en 256 tentatives tout au plus.
Pour exposer l’absurdité de cette défaillance, le chercheur en sécurité Flüpke a immédiatement mis en ligne la clé privée du certificat eMudhra sur GitHub, prouvant que le certificat serveur EM OV TLS CA – G3C reposait sur une clé privée réduite à un chiffre unique. L’autorité de certification a plaidé la maladresse humaine, expliquant qu’un script défectueux exécuté en avril 2025 avait généré un lot de clés faibles, sélectionnées par erreur lors de la mise en place de la chaîne de confiance.
Le grand nettoyage : pourquoi les serveurs et l’IoT restent exposés
La riposte des géants du web s’est orchestrée en quelques heures. Google a bloqué les certificats dans Chrome, tandis que Mozilla déployait un correctif immédiat dans Firefox avant de bannir définitivement la racine d’eMudhra de sa bibliothèque cryptographique NSS. Apple et Microsoft ont emboîté le pas pour couper court à toute tentative d’usurpation côté grand public.
Toutefois, la neutralisation de cette bourde ne s’arrête pas aux navigateurs grand public. Comme le souligne la publication technique de Cloudflare, la surface d’exposition restante est immense. Si les clients WARP, Zero Trust et Cloudflare Tunnel ont reçu des correctifs d’urgence, des dizaines de milliers d’environnements d’arrière-plan demeurent vulnérables :
- Les environnements de conteneurs : les images Docker et Kubernetes embarquant d’anciens magasins de certificats racines continuent de considérer la chaîne corrompue comme légitime.
- Les serveurs d’origine et le mTLS : les architectures exploitant du TLS mutuel ou des appels machine-à-machine (API) doivent purger manuellement leurs magasins d’autorités de confiance.
- Les outils en ligne de commande : sur certains systèmes d’exploitation, des utilitaires comme
curlacceptent encore la chaîne compromise si les paquets de certificats locaux n’ont pas été révoqués manuellement.
Pour de nombreux mainteneurs d’infrastructures, ce grand nettoyage s’annonce plus complexe que l’épisode Heartbleed, en raison de la traîne infinie d’objets connectés et de scripts oubliés qui n’appliquent pas les listes de révocation en temps réel. Une piqûre de rappel brutale sur l’extrême fragilité des tiers de confiance centralisés qui gardent les clés de notre souveraineté numérique.
En tout cas, eMudhra a appris la leçon : l’entreprise indienne quitte le marché des certificats. Radical !
🌐 L’actualité de l’open source et des technologies éthiques dans votre flux
🐘 Fediverse / Mastodon : suivez notre profil officiel @ depuis votre application ou votre instance favorite.
🦋 Bluesky (AT Protocol) : retrouvez nos actualités condensées et abonnez-vous à @goodtech.info.
