eMudhra quitte le secteur TLS après le scandale des clés
Original : Disgraced eMudhra drops out of TLS business after using cert private key of 4
Pourquoi c'est important
L'incident illustre les risques systémiques liés aux autorités de certification mal contrôlées.
L'autorité de certification indienne eMudhra abandonne le marché SSL/TLS après avoir émis 8 certificats intermédiaires avec des clés privées aussi faibles que 4 bits, permettant à quiconque de forger des certificats valides.
eMudhra, autorité de certification basée en Inde, a annoncé jeudi son retrait du marché SSL/TLS mondial, deux jours après la révélation d'une faille majeure. La société avait émis huit certificats intermédiaires dont les clés privées ECC (NIST P-384) étaient d'une faiblesse inédite : les valeurs constatées étaient 4, 56, 66, 115, 155, 156, 230 et 237 bits d'entropie, là où la norme exige environ 384 bits, soit 2³⁸⁴ combinaisons possibles. En pratique, ces clés étaient cassables en quelques millisecondes. Quiconque les exploitait pouvait générer des certificats TLS reconnus par tous les navigateurs majeurs, serveurs mail, objets connectés et outils CLI. Les fabricants de navigateurs ont bloqué les certificats concernés en un à deux jours. Dans son communiqué, le président V. Srinivasan invoque la hausse des coûts de conformité et la montée des offres gratuites (Let's Encrypt en tête), le TLS ne représentant que 1 % du chiffre d'affaires d'eMudhra. L'entreprise reconnaît aussi que « l'amplification sur les réseaux sociaux a attiré une attention disproportionnée ». Techniquement, la faille provient d'une Key Generation Ceremony (KGC) du 30 avril 2025 utilisant des HSM FIPS 140-2 Level 3 : une erreur dans une étape wrap/unwrap aurait généré un second jeu de clés défectueuses.