Faille de sécurité dans la génération de certificats

Une entreprise indienne, eMudhra, a commis une erreur critique lors de la génération des clés privées de huit certificats HTTPS. Au lieu d'utiliser le chiffrement standard de 384 bits, elle n'a utilisé que 8 bits, ce qui ne laisse que 255 combinaisons de clés possibles. L'une des clés était même aussi simple que le nombre 4.

Conséquences pour la sécurité des sites web

HTTPS est la norme pour les sites web sécurisés en 2026, et les navigateurs vérifient le certificat d'un site pour s'assurer qu'il est valide. Le problème avec eMudhra est que ses certificats semblent valides pour les navigateurs et les systèmes d'exploitation. Cependant, comme les clés étaient trop simples, n'importe qui pouvait générer un certificat et se faire passer pour un site légitime, comme une banque ou une boutique en ligne.

La réaction des navigateurs et des systèmes d'exploitation

Des éditeurs de navigateurs comme Google et Mozilla ont rapidement agi pour bloquer les certificats concernés. Apple et Microsoft les ont également bloqués, à partir du 19 et du 20 octobre respectivement. Toutefois, cette mesure ne concerne que les applications qui accèdent à Internet, comme Safari et Mail, et ne protège pas les outils qui utilisent le terminal ni les processus de vérification internes.

Vulnérabilités pour les utilisateurs avancés

Apple explique que les utilisateurs ordinaires ne courent aucun risque s'ils n'utilisent pas le terminal. La principale préoccupation concerne les développeurs et les personnes qui utilisent des outils en ligne de commande, car ces utilisateurs pourraient être vulnérables à des attaques consistant à remplacer des sources externes par de faux certificats. Si le risque est faible, il reste réel pour ceux qui travaillent avec des interfaces en ligne de commande.

Correctif temporaire proposé par Apple

En attendant la publication d'une mise à jour, Apple propose un correctif temporaire aux utilisateurs concernés. Il consiste à sauvegarder la liste des certificats, puis à supprimer les certificats problématiques à l'aide de commandes spécifiques dans le terminal. Apple fournit également la liste des certificats bloqués et les instructions pour restaurer la sauvegarde si nécessaire. Le problème devrait être entièrement résolu avec la prochaine mise à jour de macOS, probablement disponible le jour même.