eMudhra a indiqué qu’une génération de clés défectueuse avait rendu récupérables les clés privées de huit autorités intermédiaires. Mozilla et Microsoft ont décrit les changements de confiance visant les certificats concernés. eMudhra précise avoir révoqué les huit autorités, que sept n’ont jamais été utilisées en production et que celle qui l’a été n’a émis aucun certificat. L’entreprise indique aussi que son infrastructure n’a pas été compromise et qu’aucune donnée n’a été violée.
Ce que disent eMudhra et les éditeurs
eMudhra indique que la faiblesse vient d’une procédure de génération des clés, et non d’une intrusion dans son infrastructure. Microsoft précise que six clés concernaient le TLS et deux la signature de code. eMudhra indique avoir révoqué les huit autorités le 18 octobre 2026; sept n’ont jamais été utilisées en production et celle qui l’a été n’a émis aucun certificat.
Ars Technica et BleepingComputer ont rapporté les actions des éditeurs. Les avis primaires précisent les certificats et magasins de confiance impliqués; cet incident ne doit pas être étendu à tous les certificats émis par eMudhra.
Pourquoi les clés intermédiaires comptent
La clé d’une autorité intermédiaire peut signer des certificats finaux que les navigateurs ou systèmes reconnaissent via une chaîne de confiance. En théorie, une personne ayant récupéré une clé intermédiaire faible pourrait créer un certificat usurpant un domaine ou un éditeur, sous réserve des contraintes du certificat et des contrôles du logiciel. eMudhra indique qu’aucun certificat n’a été émis par ces huit autorités: cette capacité théorique ne prouve donc pas qu’un certificat frauduleux ait été créé.
Les clés faibles créaient une capacité potentielle d’usurpation, mais eMudhra indique qu’elles n’ont émis aucun certificat et qu’il n’y a eu ni fuite de données ni compromission de l’infrastructure. Les déclarations ne font pas état d’une interception de trafic ou d’une signature de code malveillant confirmée.
Changements de confiance et systèmes anciens
Les éditeurs de navigateurs et systèmes peuvent révoquer ou rendre non fiables des certificats par des mises à jour et modifications de magasins de confiance. La protection d’un appareil dépend de sa version logicielle, de son état de mise à jour, de la validation des certificats et des configurations de confiance locales.
Mozilla et Microsoft ont décrit leurs propres mesures. Les organisations doivent suivre les consignes de chaque plateforme, notamment pour les navigateurs, systèmes, environnements Java ou embarqués et images d’appareils gérés. Une mise à jour du navigateur ne modifie pas nécessairement le magasin utilisé par chaque application.
Mesures pour les administrateurs
Appliquez les mises à jour disponibles et examinez les inventaires de certificats, la supervision TLS, les politiques de signature de code et les autorités de confiance personnalisées. Remplacez les certificats et clés concernés lorsque les consignes l’indiquent. Dans les parcs gérés, vérifiez que les mises à jour ont atteint les appareils anciens ou rarement connectés.
Si un service présente une chaîne concernée, suivez les instructions de l’éditeur et coordonnez le remplacement avec son responsable. Préservez les journaux pertinents de certificats et de signature si une enquête est nécessaire.
Ce qui n’est pas établi
L’incident concerne les huit clés intermédiaires faibles. eMudhra indique qu’aucun certificat n’a été émis par ces autorités, que sept n’ont jamais servi en production et que son infrastructure et ses données n’ont pas été compromises. Le risque pour un environnement dépend toujours de la confiance accordée à une chaîne concernée et de l’application des mises à jour des éditeurs.
Le 30 octobre, eMudhra a annoncé la nomination de KPMG comme évaluateur externe indépendant. L’enquête et cette revue étaient toujours en cours au moment de cette mise à jour.
Le lien avec Soclyde
La confiance accordée aux certificats est distincte de la gestion des mots de passe. Des identifiants uniques et un coffre protégé réduisent certains risques de compte, sans corriger la confiance des navigateurs ou systèmes. Soclyde conserve un coffre chiffré sur les appareils des utilisateurs plutôt que dans un coffre cloud centralisé exploité par Soclyde. Consultez notre guide sur le stockage local ou cloud des mots de passe.
À retenir
Huit clés intermédiaires faibles étaient concernées: six pour le TLS et deux pour la signature de code. eMudhra indique que les autorités ont été révoquées et qu’aucun certificat n’a été émis. Appliquez les mesures propres à chaque plateforme et vérifiez les chaînes de certificats concernées.
