Une grave erreur cryptographique a compromis huit clés privées appartenant à l'autorité de certification eMudhra. Microsoft a exclu sept certificats des listes de confiance de Windows et d'Edge, et publié des correctifs exceptionnels pour les appareils privés des mises à jour automatiques des certificats.
Un certificat numérique n'est fiable que si l'autorité qui l'a émis conserve le secret de sa clé privée. Chez eMudhra, cette garantie faisait défaut depuis avril 2025. Huit clés pouvaient être reconstituées à partir d'informations publiques, sans aucune intrusion dans les systèmes de l'entreprise. Détectée le 17 octobre, la faille a conduit les principaux éditeurs de navigateurs à bloquer les autorités compromises. Microsoft a depuis étendu ces mesures à une partie de la hiérarchie de certification du groupe indien, au risque de perturber les services qui en dépendent encore.
Protégez votre entreprise gratuitement pendant 30 jours
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Des clés privées réduites à moins de 256 possibilités
À l'origine de l'incident, une erreur commise le 30 avril 2025 lors d'une opération de génération de clés cryptographiques chez eMudhra. Huit autorités de certification intermédiaires ont alors hérité de clés privées anormalement faibles. Six étaient destinées à délivrer des certificats TLS, utilisés pour authentifier les sites et sécuriser les communications web. Les deux autres concernaient la signature de code, qui permet notamment de vérifier l'origine d'un logiciel.
La faille se trouvait dans la valeur même de ces clés. Bien qu'elles reposent sur P-384, un algorithme de cryptographie elliptique offrant normalement un espace de recherche gigantesque, leurs valeurs étaient toutes inférieures à 256. Moins de 256 essais permettaient donc de retrouver chacune d'elles à partir de sa clé publique. Un défaut de génération particulièrement grossier, qui ne remet pas en cause la solidité de P-384, mais la manière dont eMudhra l'a utilisé.
L'entreprise reconnaît une erreur de script lors d'une opération de manipulation des clés, qui aurait produit un second jeu de clés vulnérables, ensuite associé aux certificats publics. Plus embarrassant encore, l'anomalie a échappé aux contrôles pendant près de dix-huit mois, malgré deux cycles d'audit indépendants.
eMudhra a révoqué les huit autorités le 18 octobre et affirme qu'aucune n'avait délivré de certificat final. Un attaquant en possession de leurs clés privées aurait néanmoins pu émettre de faux certificats pour des domaines qu'il ne contrôlait pas. Sur un appareil reconnaissant encore les autorités compromises, ces certificats pouvaient faciliter l'usurpation de sites légitimes et l'interception de communications chiffrées. Les clés de signature de code pouvaient également servir à présenter des logiciels malveillants comme provenant d'un éditeur de confiance.
Microsoft exclut sept certificats de confiance et publie des correctifs hors cycle
Microsoft avait pris de premières dispositions le 20 octobre en inscrivant les huit autorités intermédiaires compromises sur la liste des certificats interdits de Windows. Edge et WebView2 avaient reçu une protection équivalente par l'intermédiaire de leurs mises à jour internes, sans nécessiter l'installation d'une nouvelle version du navigateur.
Le 26 octobre, l'éditeur a élargi sa réponse en excluant six certificats racines eMudhra G3 et un certificat de signature croisée AAA Certificate Services de la liste de confiance de Windows. La même mesure a été appliquée à Edge le lendemain.
Pour Windows 11, cette décision s'accompagne de trois mises à jour cumulatives exceptionnelles : KB5134133 pour Windows 11 24H2, 25H2 et 26H2, KB5134134 pour 26H1 et KB5134130 pour 23H2. Windows 10 et Windows Server disposent également de correctifs.
Ces correctifs s'adressent principalement aux machines isolées, privées du service Microsoft de mise à jour des certificats ou configurées pour désactiver les actualisations automatiques des listes de confiance. Les administrateurs peuvent les récupérer dans le Microsoft Update Catalog. Sur les PC qui reçoivent normalement ces listes, les nouvelles règles de confiance s'appliquent sans intervention particulière.
Les entreprises doivent également recenser les sites, applications et services dont la chaîne de certification passe par l'un des sept certificats retirés. Leur remplacement, ou l'utilisation d'une autre chaîne de confiance reconnue, permettra d'éviter les erreurs de validation. Microsoft déconseille de rétablir localement cette confiance sans avoir préalablement évalué les risques.
