Ce qui s'est passé
Le 17 octobre, un chercheur a signalé à Mozilla que les clés privées de huit autorités de certification intermédiaires d'eMudhra avaient été générées avec trop peu d'aléa. Le chercheur Scott Helme a retrouvé les huit clés à partir des certificats publics en moins d'une seconde. Leurs valeurs étaient 4, 56 et 115. Les clés ont été créées lors d'une cérémonie en avril 2025. Six autorités étaient destinées au TLS et deux à la signature de code.
Pourquoi c'est grave
Qui connaît une telle clé peut émettre des certificats pour n'importe quel site, et les navigateurs les croiraient authentiques. C'est une base toute prête pour intercepter le trafic.
La réaction du secteur
Google a bloqué les certificats dans Chrome, sur Android et sur Chromebook sans mise à jour du navigateur, et retire la racine emSign ECC Root CA G3 de son magasin, le changement atteignant les appareils le 27 octobre. Mozilla les a bloqués via OneCRL et Cloudflare a activé des protections dès le 19 octobre. Selon Google, aucun faux certificat TLS correspondant n'est apparu dans les journaux Certificate Transparency, et eMudhra affirme que ces autorités n'ont jamais émis de certificats finaux. D'après Ars Technica, l'entreprise quitte le marché des certificats TLS.
Ce qu'il faut vérifier
Environ 30 000 certificats légitimes devront être migrés. Il faut regarder de près les passerelles de paiement, les anciennes applications Java, les clients mobiles et les équipements réseau, qui ont parfois leur propre magasin de confiance non mis à jour.