eMudhra révoque 16 certificats CA intermédiaires après une mauvaise gestion des clés privées
🔍 Contexte Source : BleepingComputer, publié le 11 novembre 2026. L’autorité de certification (CA) indienne eMudhra a publié un nouveau rapport d’incident détaillant l’extension de la compromission de ses certificats intermédiaires, portant le total à 16 certificats CA intermédiaires révoqués. 🐛 Cause technique Un script Python personnalisé développé en interne en avril 2025 pour transférer des clés CA entre différents HSMs (Hardware Security Modules) contenait un bug critique : 8 clés privées ECDSA ont été réduites à un seul octet, les rendant récupérables en testant seulement 256 valeurs possibles. 8 clés privées RSA ont été traitées en mémoire vive de l’hôte plutôt que dans le HSM, violant la politique de sécurité CPS §6.2.6. 📅 Chronologie des événements Avril 2025 : Exécution du script défaillant lors d’un transfert de clés entre HSMs. Juin 2025 : Détection de CRLs signées avec des clés ne correspondant pas aux certificats CA — signal d’alerte ignoré. Octobre 2026 : Découverte de la compromission par le chercheur en sécurité “Wayne”, divulguée le 17 octobre. 26 octobre 2026 : Microsoft publie des mises à jour Windows hors-bande pour supprimer la confiance dans les chaînes eMudhra. 7 novembre 2026 : Révocation des 8 certificats RSA intermédiaires supplémentaires. 16 novembre 2026 : Date prévue d’arrêt d’émission sous la hiérarchie G1 restante. 🎯 Impact Les certificats compromis étaient approuvés par les principaux navigateurs et systèmes d’exploitation (Mozilla, Google, Apple, Microsoft). Des certificats TLS et de signature de code ont été émis depuis ces intermédiaires compromis, certains actifs jusqu’au 3 novembre 2026. Risque théorique : forge de certificats pour des sites légitimes et interception de communications chiffrées. Aucune preuve d’exploitation malveillante n’a été détectée. 🏢 Réponse d’eMudhra Révocation de l’ensemble des certificats affectés et migration des clients. Abandon du marché TLS public et transfert des clients vers un autre fournisseur. Audit indépendant commandé auprès de KPMG, résultats attendus le 4 décembre 2026. 📄 Type d’article Rapport d’incident / post-mortem : cet article documente les conclusions d’une investigation interne étendue sur un incident de sécurité PKI majeur impliquant une autorité de certification publiquement approuvée. ...