Une entreprise indienne cesse la certification SSL/TLS

eMudhra, une entreprise indienne, a décidé de mettre volontairement fin à son activité de certification SSL/TLS après avoir découvert une faille majeure dans son processus de génération des clés de chiffrement. L'entreprise a annoncé sa sortie du marché des certificats HTTPS le 22 octobre, évoquant la génération de huit clés de chiffrement d'une longueur de seulement 8 bits, au lieu des 384 bits (48 octets) requis. L'une des clés avait pour valeur 4.

Une faille a permis de créer de faux certificats

eMudhra attribue le problème à des « erreurs humaines » survenues à plusieurs étapes du processus, ce qui a permis à quiconque de générer de faux certificats HTTPS pour des domaines qu'il ne contrôlait pas. Cela a rendu possible l'usurpation de sites web légitimes, permettant potentiellement à des acteurs malveillants de tromper les utilisateurs pour leur soutirer des informations sensibles.

L'entreprise a agi rapidement pour remédier au problème

L'entreprise affirme avoir « géré cet incident avec diligence », en révoquant les autorités de certification concernées dans les 14 heures suivant sa découverte, et en le signalant rapidement. Elle souligne qu'aucun certificat destiné aux utilisateurs finaux n'a été émis par les autorités concernées et que son infrastructure n'a pas été compromise, aucune donnée n'ayant été volée.

Une activité SSL/TLS devenue trop coûteuse et complexe

eMudhra indique que l'incident a rendu l'activité SSL/TLS « de plus en plus complexe et coûteuse au fil des années », d'autant que d'autres acteurs majeurs proposent ces certificats gratuitement. L'entreprise précise que cette activité ne représente que 1 % de son chiffre d'affaires mondial, mais que cette défaillance a fait peser de sérieux risques sur les internautes.

L'entreprise invoque l'atteinte à sa réputation pour justifier son retrait

eMudhra n'a pas avancé de raison économique à son retrait, affirmant que l'amplification de l'incident sur les réseaux sociaux a suscité une attention disproportionnée par rapport au rôle du SSL/TLS dans ses activités. Elle affirme que sa réputation en a souffert et qu'elle entend se concentrer sur les domaines où elle crée le plus de valeur pour ses clients, comme les solutions pour entreprises et les services de confiance autres que le SSL/TLS.

L'entreprise propose un accompagnement à ses clients concernés

Les clients d'eMudhra se verront proposer le remplacement gratuit de leurs certificats par des certificats fournis par des partenaires. L'entreprise s'engage à maintenir le bon fonctionnement des services de révocation et de vérification du statut des certificats jusqu'à l'expiration ou le remplacement de ceux-ci. Elle promet également un rapport détaillé sur l'incident.