Une erreur cryptographique a compromis huit clés privées eMudhra, rendant faibles les certificats TLS et de signature de code. Microsoft a bloqué les autorités affectées et publié des correctifs.
Erreur cryptographique touchant les clés d'eMudhra
Une grave erreur cryptographique a compromis huit clés privées appartenant à l'autorité de certification eMudhra. L'erreur s'est produite lors d'une opération de génération de clés cryptographiques le 30 avril 2025, ce qui a conduit huit autorités de certification intermédiaires à hériter de clés privées anormalement faibles.Des clés faibles qui posent des risques pour la sécurité
Six de ces clés étaient destinées à l'émission de certificats TLS, utilisés pour authentifier les sites web et sécuriser les communications en ligne, tandis que les deux autres servaient à la signature de code, qui permet de vérifier l'origine d'un logiciel. Le défaut concernait la valeur même de ces clés : bien qu'elles reposent sur P-384, un algorithme de cryptographie à courbes elliptiques, leurs valeurs étaient inférieures à 256.Une erreur liée à un défaut de script
L'entreprise a reconnu une erreur dans un script utilisé lors d'une opération de manipulation de clés, qui a produit un second ensemble de clés vulnérables, ensuite associées à des certificats publics. L'anomalie est restée inaperçue pendant près de dix-huit mois, malgré deux cycles d'audit indépendants.Le défaut détecté, les navigateurs réagissent
Le défaut a été détecté le 17 octobre, ce qui a conduit les principaux éditeurs de navigateurs à bloquer les autorités compromises. Microsoft a pris des mesures initiales le 20 octobre en inscrivant les huit autorités intermédiaires compromises sur la liste des certificats interdits de Windows.Microsoft étend ses correctifs de sécurité
Le 26 octobre, Microsoft a élargi sa réponse en excluant six certificats racines eMudhra G3 et un certificat croisé AAA Certificate Services de la liste de confiance de Windows. La même mesure a été appliquée à Edge le lendemain.Des mises à jour ciblant des versions spécifiques de Windows
Pour Windows 11, cette décision s'est accompagnée de trois mises à jour cumulatives exceptionnelles : KB5134133 pour Windows 11 24H2, 25H2 et 26H2, KB5134134 pour la version 26H1 et KB5134130 pour la version 23H2. Windows 10 et Windows Server ont également reçu des correctifs.eMudhra révoque les autorités compromises
eMudhra a révoqué les huit autorités le 18 octobre et affirme qu'aucune n'avait émis de certificat final. Toutefois, un attaquant en possession de leurs clés privées aurait pu émettre de faux certificats pour des domaines qu'il ne contrôlait pas.Des certificats compromis pourraient permettre l'usurpation d'identité
Sur un appareil reconnaissant encore les autorités compromises, ces certificats pourraient faciliter l'usurpation de sites web légitimes et l'interception de communications chiffrées. Les clés de signature de code pourraient également servir à présenter des logiciels malveillants comme provenant d'un éditeur de confiance.Microsoft étend les mesures à la hiérarchie de confiance
Microsoft a étendu ces mesures à une partie de la hiérarchie de certification du groupe indien, ce qui risque de perturber les services qui en dépendent encore. Les entreprises doivent également inventorier les sites web, applications et services dont la chaîne de certificats passe par l'un des sept certificats retirés.Remplacement des certificats recommandé
Leur remplacement, ou l'utilisation d'une autre chaîne de confiance reconnue, permettra d'éviter les erreurs de validation. Microsoft déconseille de rétablir localement cette confiance sans avoir préalablement évalué les risques.
