🔍 Contexte

Source : BleepingComputer, publié le 11 novembre 2026. L’autorité de certification (CA) indienne eMudhra a publié un nouveau rapport d’incident détaillant l’extension de la compromission de ses certificats intermédiaires, portant le total à 16 certificats CA intermédiaires révoqués.

🐛 Cause technique

Un script Python personnalisé développé en interne en avril 2025 pour transférer des clés CA entre différents HSMs (Hardware Security Modules) contenait un bug critique :

  • 8 clés privées ECDSA ont été réduites à un seul octet, les rendant récupérables en testant seulement 256 valeurs possibles.
  • 8 clés privées RSA ont été traitées en mémoire vive de l’hôte plutôt que dans le HSM, violant la politique de sécurité CPS §6.2.6.

📅 Chronologie des événements

  • Avril 2025 : Exécution du script défaillant lors d’un transfert de clés entre HSMs.
  • Juin 2025 : Détection de CRLs signées avec des clés ne correspondant pas aux certificats CA — signal d’alerte ignoré.
  • Octobre 2026 : Découverte de la compromission par le chercheur en sécurité “Wayne”, divulguée le 17 octobre.
  • 26 octobre 2026 : Microsoft publie des mises à jour Windows hors-bande pour supprimer la confiance dans les chaînes eMudhra.
  • 7 novembre 2026 : Révocation des 8 certificats RSA intermédiaires supplémentaires.
  • 16 novembre 2026 : Date prévue d’arrêt d’émission sous la hiérarchie G1 restante.

🎯 Impact

  • Les certificats compromis étaient approuvés par les principaux navigateurs et systèmes d’exploitation (Mozilla, Google, Apple, Microsoft).
  • Des certificats TLS et de signature de code ont été émis depuis ces intermédiaires compromis, certains actifs jusqu’au 3 novembre 2026.
  • Risque théorique : forge de certificats pour des sites légitimes et interception de communications chiffrées.
  • Aucune preuve d’exploitation malveillante n’a été détectée.

🏢 Réponse d’eMudhra

  • Révocation de l’ensemble des certificats affectés et migration des clients.
  • Abandon du marché TLS public et transfert des clients vers un autre fournisseur.
  • Audit indépendant commandé auprès de KPMG, résultats attendus le 4 décembre 2026.

📄 Type d’article

Rapport d’incident / post-mortem : cet article documente les conclusions d’une investigation interne étendue sur un incident de sécurité PKI majeur impliquant une autorité de certification publiquement approuvée.

🟡 Indice de vérification factuelle : 35/100 (moyenne)

  • ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
  • ✅ 4574 chars — texte complet (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ⬜ aucune TTP identifiée (0pts)
  • ⬜ date RSS ou approximée (0pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/emudhra-revokes-8-more-ca-certificates-after-private-key-mishap/