La société eMudhra, une autorité de certification (Certificate Authority), a annoncé sa décision de se retirer complètement du marché mondial des certificats SSL/TLS. Cette décision intervient quelques jours seulement après que des chercheurs en sécurité ont révélé une faille critique dans huit certificats intermédiaires émis par l'entreprise, dont les clés de chiffrement étaient si faibles qu'elles pouvaient être compromises en une fraction de seconde.
Détails de la faille de sécurité
Selon les rapports techniques, les clés de chiffrement (ECC) émises par l'entreprise étaient censées présenter un haut niveau de complexité (384 bits), mais la puissance des clés découvertes variait entre seulement 3 et 8 bits. Cela signifie que le nombre de combinaisons possibles pour les clés était extrêmement réduit, permettant à n'importe quelle partie de créer des certificats web de confiance pour n'importe quel site ou serveur de messagerie, ce qui représente une menace de sécurité grave pour l'infrastructure Internet.
Pourquoi cette nouvelle est-elle importante ?
La gravité de cet incident réside dans le fait que les certificats émis par eMudhra bénéficiaient de la confiance des principaux navigateurs et systèmes d'exploitation. Dès la découverte de la faille, les éditeurs de navigateurs ont été contraints de bloquer immédiatement ces certificats. Cependant, les appareils connectés (IoT), les conteneurs Docker et les systèmes anciens qui ne reçoivent pas de mises à jour régulières restent exposés pendant de longues périodes, car ils pourraient ne pas être en mesure de mettre à jour leurs listes de certificats de confiance.
Erreurs humaines et techniques lors de la cérémonie de génération de clés
eMudhra a expliqué que le défaut est survenu lors de la « cérémonie de génération de clés » (Key Generation Ceremony) en avril 2025. L'entreprise a indiqué qu'une erreur dans les logiciels utilisés a conduit à la création de deux groupes de clés : un groupe robuste et un groupe faible. En raison d'une erreur humaine dans l'étiquetage, les clés faibles ont été utilisées pour émettre les certificats et les publier dans les magasins de racines (Root Stores). L'entreprise a également admis avoir tenté de resigner les listes de révocation de certificats (CRL) en utilisant les clés défectueuses après l'échec de la signature avec les clés originales, sans procéder à une enquête approfondie sur la cause de cet échec.
Motifs du retrait
Le président du conseil d'administration de l'entreprise, V. Srinivasan, a justifié la décision de retrait par la hausse des coûts de conformité réglementaire, le faible retour sur investissement dû à la prolifération des certificats gratuits, ainsi que par la pression médiatique et l'examen minutieux ayant suivi l'incident, que l'entreprise a qualifié de « disproportionné » par rapport au volume de cette activité dans son portefeuille d'affaires.