eMudhra : huit clés de certificats compromises, navigateurs en alerte

Mozilla, Google, Apple et Microsoft ont bloqué entre le 17 et le 20 octobre 2026 huit certificats intermédiaires de l'autorité de certification indienne eMudhra, dont les clés privées ont été compromises, ce qui permettait en théorie de fabriquer un certificat HTTPS valide pour n'importe quel site.

Une autorité de certification (CA) est un organisme dont les navigateurs et les systèmes acceptent les certificats pour authentifier un site. Les racines d'eMudhra, vendues sous la marque emSign, figurent dans les magasins de confiance de Mozilla, Chrome et Apple. Un chercheur a signalé le problème aux programmes racines le 17 octobre au soir.

Que s'est-il passé chez eMudhra ?

Les clés n'ont pas forcément été volées. Selon The Hacker News, elles ont été générées avec trop peu d'aléa, si bien qu'on peut les recalculer à partir des certificats publics. eMudhra attribue cela à une faille lors de la cérémonie de génération de clés d'avril 2025, qui aurait produit un second jeu de clés faibles publié dans les magasins de confiance. Mozilla a récupéré les clés en moins de deux heures, puis des chercheurs les ont publiées.

Six certificats servent au TLS (types DV, OV et EV, en versions G3B et G3C) et chaînent vers la racine « emSign ECC Root CA - G3 ». Deux autres servent à la signature de code. Chacun existe aussi en copie signée par Sectigo, avec la même clé publique.

Qui a bloqué quoi, et quand ?

• Chrome : blocage par CRLSet le 17 octobre, suppression de la racine prévue dans la version 43, vers le 27 octobre.

• Firefox : blocage OneCRL le 17 octobre, puis versions 158.0.1 et ESR 115.43.1 / 153.5.1.

• Apple le 19 octobre, Android via Google Play Services le 19 octobre, Microsoft le 20 octobre.

• Go : versions 1.27.3 et 1.26.10 (CVE-2026-111943), avec recompilation nécessaire. Des mises à jour existent aussi pour NSS, certifi, webpki-roots et Cloudflare ; Node.js attendait encore un correctif.

Un risque réel pour les internautes ?

En théorie, détenir ces clés permettait d'émettre un faux certificat accepté pour n'importe quel domaine. En pratique, selon le programme racine de Chrome, aucun certificat TLS rattaché aux six intermédiaires TLS n'avait été journalisé dans Certificate Transparency, le registre public des certificats, avant le blocage. Cette vérification ne couvre toutefois que les certificats journalisés : il n'existe pas de moyen fiable de détecter un usage passé.

eMudhra affirme que son infrastructure n'a pas été compromise, qu'aucune donnée n'a fuité, qu'un seul des huit intermédiaires était déployé en production et qu'aucun n'a émis de certificat final. Ces déclarations de l'entreprise n'ont pas été vérifiées de façon indépendante. Son action a reculé de 20 % à Mumbai le 21 octobre.

Que doivent faire les administrateurs de sites ?

Les sites dont le certificat chaîne vers emSign ECC Root CA - G3 doivent le remplacer par une autre hiérarchie avant le 27 octobre ; eMudhra s'est engagée à migrer ses clients. Les utilisateurs de Firefox n'ont rien à faire, sauf si les mises à jour Remote Settings sont désactivées par stratégie. Les opérateurs de serveurs d'origine, de mTLS ou de conteneurs doivent mettre à jour eux-mêmes leurs magasins de confiance, comme le recommande Cloudflare. Mozilla prévient que certains sites légitimes deviendront inaccessibles à des utilisateurs hors Firefox qui s'appuient sur sa liste.

Source

The Hacker News et BleepingComputer.