L'Inde ordonne une enquête sur la faille de certificats d'eMudhra, les navigateurs bloquent les clés faibles

Le ministère indien de l'Électronique et des Technologies de l'information a créé une équipe spéciale pour enquêter sur un incident de sécurité chez eMudhra, le fournisseur de certificats basé à Bengaluru, après la découverte de huit clés de certificats intermédiaires dangereusement faibles. Le ministère a annoncé l'enquête dans une série de messages sur X le mercredi 21 octobre et a dit avoir pris l'incident au sérieux.

Les clés faibles se trouvent dans le système que le web utilise pour prouver qu'un site est bien ce qu'il prétend être. Une autorité de certification vérifie les identités et délivre des certificats numériques. Les navigateurs font confiance à ces certificats pour établir des connexions HTTPS sécurisées. Si un attaquant détient une clé privée faible, il peut créer de faux certificats et imiter des sites légitimes, ont averti les chercheurs en sécurité.

Comment la faille est arrivée

eMudhra a dit qu'une étape de sa procédure de génération de clés avait produit un second jeu de clés, faible, à côté des clés fortes. Les clés ont été générées le 30 avril 2025 et le jeu faible a été publié dans les magasins racines des navigateurs, où il est resté indétecté pendant environ 18 mois. L'entreprise a dit que sa clé privée racine n'avait pas été compromise, que son infrastructure n'avait pas été violée et qu'aucune donnée client n'avait été prise.

La faille a été révélée le 17 octobre, quand un chercheur a alerté Apple, Google, Microsoft et Mozilla : les clés privées liées aux huit certificats pouvaient être reconstituées, peut-être avec des techniques assistées par IA. CERT-In, l'équipe indienne de réponse aux urgences informatiques, a dit que les huit certificats touchés comprennent six certificats TLS et deux certificats de signature de code. Les certificats TLS sécurisent les connexions entre sites web, navigateurs et applications. Les certificats de signature de code garantissent les logiciels.

Les navigateurs agissent, le ministère fixe une limite

Google a bloqué les clés touchées et a dit que Chrome retirerait la racine associée, emSign ECC Root CA - G3, de son magasin de confiance à partir du 27 octobre. Mozilla a bloqué les certificats dans Firefox en moins de trois heures après le signalement. Les opérateurs de navigateurs ont retiré leur confiance dans la racine par précaution et CERT-In a publié un avis avec des mesures pour limiter les dégâts. L'avis avertit que le retrait de la racine peut rendre certains certificats légitimes non fiables, ce qui pourrait perturber les sites et services touchés.

Le ministère a été clair sur ce que l'incident ne touche pas. Il a dit que l'affaire ne concerne que l'activité internationale de sécurité web d'eMudhra, qui fonctionne sous un cadre mondial de confiance et des audits séparés. Les certificats de signature numérique et les services eSign réglementés en Inde fonctionnent sur des systèmes séparés et restent entièrement intacts, a dit le ministère. Il a qualifié l'impact sur les sites et applications indiens de très limité et bref, et a mis en garde contre la peur semée sur les réseaux sociaux.

eMudhra a dit qu'aucune des huit autorités intermédiaires touchées n'avait délivré de certificats pour les utilisateurs finaux. L'entreprise a nommé un écosystème client touché aux États-Unis, où les certificats sont en cours de remplacement. L'activité mondiale TLS au centre de l'affaire représente environ 1 pour cent du chiffre d'affaires de l'entreprise, a-t-elle dit. Elle revoit ses procédures de génération de clés et propose aux clients entreprises des certificats d'une autorité supplémentaire. Elle a aussi dit ne pas avoir encore confirmé la cause exacte et la publier en entier une fois sa propre enquête terminée. Plus de détails sont attendus après le rapport de l'équipe du ministère.