Les géants de la tech se précipitent pour bloquer 8 certificats eMudhra susceptibles de permettre la création de faux sites

Les géants de la technologie ont déployé des blocages d’urgence contre huit certificats numériques vulnérables qui pourraient permettre à des attaquants d’usurper l’identité de sites web légitimes.

Mardi, les développeurs de navigateurs et d’autres grandes entreprises technologiques avaient déployé des protections contre huit certificats intermédiaires délivrés par l’autorité de certification eMudhra Limited, basée en Inde, après avoir découvert que leurs clés privées n’étaient pas suffisamment sécurisées. 

L’ingénieur en cryptographie de Mozilla, Dennis Jackson, a écrit dans un rapport d’incident que Mozilla avait récupéré de manière indépendante les clés privées lorsqu’il avait été informé de la faille pour la première fois samedi, confirmant que le processus de génération des clés était « défectueux » et « trivial à exploiter ». 

Selon Mozilla, un attaquant qui intercepte la connexion d’un utilisateur pourrait utiliser des certificats frauduleux pour usurper l’identité d’un site web légitime et potentiellement lire ou modifier les informations échangées.

Bien que de nombreuses entreprises aient rapidement bloqué les certificats concernés, la menace subsiste pour les applications et les systèmes qui ne reçoivent pas automatiquement ces blocages.

Dans un article de blog publié mardi, l’équipe de sécurité de Mozilla Firefox a déclaré avoir reçu le rapport samedi et avoir réagi en bloquant les certificats concernés dans Firefox au moyen de OneCRL, opération achevée le jour même. Elle a ensuite publié une mise à jour de son navigateur pour ordinateur et Android, protégeant les utilisateurs grâce à des paramètres personnalisés qui les empêchaient de recevoir la mise à jour OneCRL. 

Cloudflare a déclaré avoir pris connaissance du rapport lundi et avoir publié mardi des mises à jour pour ses clients Cloudflare One et WARP ainsi que pour Cloudflare Tunnel, parallèlement à des mesures d’atténuation dans l’ensemble de ses services. 

Jackson a déclaré que les certificats avaient également été bloqués dans Chrome depuis samedi, sur les appareils Apple depuis lundi et sur les plateformes Microsoft depuis mardi.

« Le problème a été signalé de manière responsable aux magasins de confiance en aval le 19 octobre. Beaucoup ont déjà publié des mises à jour ou sont en train de le faire », a-t-il déclaré. 

À lire aussi : Le piratage de Hugging Face révèle le paradoxe de la cybersécurité de l’IA à poids ouverts

Jackson a déclaré qu’aucun élément ne prouvait que Firefox, Chrome, Edge et Safari avaient été attaqués de cette manière, car aucun enregistrement concernant les certificats intermédiaires n’apparaissait dans les journaux de transparence des certificats depuis avril 2025. 

« Toutefois, de nombreux clients en dehors de l’écosystème des navigateurs n’appliquent pas la transparence des certificats. Nous ne savons pas si des attaquants ont exploité la génération de clés défectueuse pour cibler ces clients », a-t-il déclaré. 

L’incident rappelle la compromission de DigiNotar en 2011, une cyberattaque majeure au cours de laquelle des pirates avaient compromis l’autorité de certification néerlandaise, émettant 531 certificats SSL frauduleux. 

Les certificats frauduleux ont permis à des acteurs malveillants de se faire passer pour Google et d’espionner environ 300 000 comptes Gmail iraniens.

Magazine : Les agents peuvent négocier 24/7 — mais Yat Siu vous avertit que vous pourriez perdre l’accès à tout moment