Huit clés secrètes d’eMudhra, une entreprise indienne qui certifie l’authenticité des sites web, ont été compromises. Les navigateurs et les éditeurs de logiciels se dépêchent de publier des correctifs
Lorsqu’un utilisateur consulte un site web, son navigateur vérifie un certificat numérique pour confirmer que le site est bien authentique. Ces certificats sont délivrés par des entreprises appelées autorités de certification, et eMudhra en fait partie. Selon The Register, l’entreprise a délivré plus de 60 millions de certificats.
Chaque autorité de certification signe ses certificats à l’aide d’une clé privée. Voyez-la comme un sceau maître. Si quelqu’un vole ou casse ce sceau, il peut créer de faux certificats qui semblent authentiques pour n’importe quel site web. Comme
Les utilisateurs de cryptomonnaies pourraient également être touchés, mais surtout en dehors du navigateur. Les robots de plateformes d’échange, les scripts de trading et les systèmes backend de portefeuilles fonctionnent souvent sous Python, Node ou Go. Un certificat falsifié pour l’API d’une plateforme pourrait, en théorie, permettre à un pirate connecté au même réseau de lire ou de modifier le trafic d’un robot. Aucune attaque visant les cryptomonnaies n’a été signalée jusqu’à présent.
Les éditeurs de navigateurs et les développeurs de logiciels ont déployé des correctifs d’urgence. Mozilla n’a reçu le signalement que le 17 octobre, après 20 h UTC, et a mis en place un blocage environ trois heures plus tard. Chrome a bloqué les certificats le même jour. Apple a suivi le 19 octobre, puis Microsoft le 20 octobre. eMudhra les a également révoqués.
Les détails précis de la manière dont cette catastrophe s’est produite ont été exposés dans le bulletin de sécurité officiel de Mozilla. Selon Helme, qui a consulté un ticket de bogue de Mozilla, eMudhra a imputé le problème à un bogue dans son script de configuration des clés.
La véritable inquiétude concerne ce qui se passe en dehors du navigateur. De nombreux programmes ne vérifient jamais si un certificat a été révoqué. « Le fait qu’eMudhra et Sectigo aient révoqué ces certificats intermédiaires ne leur est donc d’aucune utilité », a écrit Helme.
Il affirme que ses tests ont montré que des outils comme curl, Python, Node, Go et Java acceptaient un certificat falsifié pour l’API de Stripe. Des correctifs sont disponibles pour Go, le paquet certifi de Python et webpki-roots de Rust. Au moment de la dernière vérification, le correctif de Node.js était encore en attente.