Huit clés privées appartenant à l’autorité de certification indienne eMudhra ont été compromises après que des chercheurs ont découvert qu’elles pouvaient être retrouvées à partir de certificats publics en moins d’une seconde. Selon les informations rapportées, il s’agissait de très petits nombres entiers, et non de valeurs aléatoires robustes. Des attaquants pourraient utiliser des clés d’autorité de certification compromises pour forger des certificats de confiance et usurper l’identité de sites web. Aucune attaque contre des utilisateurs n’a été signalée.
Pourquoi c’est important
Les autorités de certification délivrent des certificats numériques que les navigateurs utilisent pour vérifier les sites web. Une clé de signature compromise peut saper cette confiance en faisant passer un certificat frauduleux pour authentique. Selon The Register, eMudhra a délivré plus de 60 millions de certificats.
Les éditeurs de navigateurs ont réagi rapidement : Mozilla et Chrome ont bloqué les certificats le 17 octobre, Apple a suivi le 19 octobre, puis Microsoft le 20 octobre. eMudhra les a également révoqués. La cause serait un bug dans le script de configuration des clés de l’entreprise, même si les détails précis ne sont pas clairs.
Impact sur le marché
Les navigateurs sont en grande partie protégés, mais les vérifications de révocation varient selon les autres logiciels. Le chercheur Scott Helme a indiqué que ses tests montraient que curl et des logiciels utilisant Python, Node, Go et Java acceptaient un certificat falsifié pour l’API de Stripe. Des correctifs étaient disponibles pour Go, le package certifi de Python et webpki-roots de Rust. Celui de Node.js était encore en attente au moment des faits.
Pour les entreprises crypto, le risque concerne surtout les systèmes hors des navigateurs. Les bots d’exchange, les scripts de trading et les backends de portefeuilles qui se connectent via des logiciels concernés pourraient être exposés à une interception ou à une modification du trafic si un attaquant parvient à se placer sur le même réseau. Aucune attaque liée aux cryptomonnaies n’a été signalée.
Questions fréquemment posées
-
Comment les huit clés privées d’eMudhra ont-elles été retrouvées ?
Selon les chercheurs, les clés étaient de très petits nombres entiers, et non des valeurs aléatoires robustes. Scott Helme a indiqué avoir retrouvé les huit à partir de certificats publics en moins d’une seconde.
-
Que pourrait faire un attaquant avec les clés de certificat compromises ?
Ces clés pourraient servir à forger des certificats d’apparence authentique et à usurper l’identité de sites de confiance, ce qui pourrait permettre d’intercepter ou de modifier les données des utilisateurs.
-
Quels éditeurs de navigateurs ont bloqué les certificats ?
Mozilla et Chrome les ont bloqués le 17 octobre, Apple a suivi le 19 octobre et Microsoft le 20 octobre. eMudhra a également révoqué les certificats.
-
Pourquoi certains logiciels pourraient-ils rester vulnérables après la révocation des certificats ?
Certains programmes ne vérifient pas si un certificat a été révoqué. La révocation pourrait donc ne pas empêcher ces applications d’accepter un certificat falsifié.
-
Quelles conséquences cet incident pourrait-il avoir pour les systèmes de trading crypto ?
Les bots d’exchange, les scripts de trading et les backends de portefeuilles pourraient être exposés s’ils utilisent des logiciels concernés et qu’un attaquant intercepte leur trafic réseau. Aucune attaque crypto n’a été signalée.
WuBlockchain
Crypto News
CryptoSlate
Lookonchain
TheBlock
CoinTelegraph
WatcherGuru