// CLUBIC — MODA & SOCIETÀ
Une erreur cryptographique vieille de 18 mois contraint Microsoft à bannir des certificats de Windows
Une grave erreur cryptographique a compromis huit clés privées appartenant à l'autorité de certification eMudhra. Microsoft a exclu sept certificats des listes de confiance de Windows et d'Edge, et publié des correctifs exceptionnels pour les appareils privés des mises à jour automatiques des certificats.
Un certificat numérique n'est fiable que si l'autorité qui l'a émis conserve le secret de sa clé privée. Chez eMudhra, cette garantie faisait défaut depuis avril 2025. Huit clés pouvaient être reconstituées à partir d'informations publiques, sans aucune intrusion dans les systèmes de l'entreprise. Détectée le 17 octobre, la faille a conduit les principaux éditeurs de navigateurs à bloquer les autorités compromises. Microsoft a depuis étendu ces mesures à une partie de la hiérarchie de certification du groupe indien, au risque de perturber les services qui en dépendent encore.
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
À l'origine de l'incident, une erreur commise le 30 avril 2025 lors d'une opération de génération de clés cryptographiques chez eMudhra. Huit autorités de certification intermédiaires ont alors hérité de clés privées anormalement faibles. Six étaient destinées à délivrer des certificats TLS, utilisés pour authentifier les sites et sécuriser les communications web. Les deux autres concernaient la signature de code, qui permet notamment de vérifier l'origine d'un logiciel.
La faille se trouvait dans la valeur même de ces clés. Bien qu'elles reposent sur P-384, un algorithme de cryptographie elliptique offrant normalement un espace de recherche gigantesque, leurs valeurs étaient toutes inférieures à 256. Moins de 256 essais permettaient donc de retrouver chacune d'elles à partir de sa clé publique. Un défaut de génération particulièrement grossier, qui ne remet pas en cause la solidité de P-384, mais la manière dont eMudhra l'a utilisé.
L'entreprise reconnaît une erreur de script lors d'une opération de manipulation des clés, qui aurait produit un second jeu de clés vulnérables, ensuite associé aux certificats publics. Plus embarrassant encore, l'anomalie a échappé aux contrôles pendant près de dix-huit mois, malgré deux cycles d'audit indépendants.
eMudhra a révoqué les huit autorités le 18 octobre et affirme qu'aucune n'avait délivré de certificat final. Un attaquant en possession de leurs clés privées aurait néanmoins pu émettre de faux certificats pour des domaines qu'il ne contrôlait pas. Sur un appareil reconnaissant encore les autorités compromises, ces certificats pouvaient faciliter l'usurpation de sites légitimes et l'interception de communications chiffrées. Les clés de signature de code pouvaient également servir à présenter des logiciels malveillants comme provenant d'un éditeur de confiance.
Microsoft avait pris de premières dispositions le 20 octobre en inscrivant les huit autorités intermédiaires compromises sur la liste des certificats interdits de Windows. Edge et WebView2 avaient reçu une protection équivalente par l'intermédiaire de leurs mises à jour internes, sans nécessiter l'installation d'une nouvelle version du navigateur.
Le 26 octobre, l'éditeur a élargi sa réponse en excluant six certificats racines eMudhra G3 et un certificat de signature croisée AAA Certificate Services de la liste de confiance de Windows. La même mesure a été appliquée à Edge le lendemain.
Pour Windows 11, cette décision s'accompagne de trois mises à jour cumulatives exceptionnelles : KB5134133 pour Windows 11 24H2, 25H2 et 26H2, KB5134134 pour 26H1 et KB5134130 pour 23H2. Windows 10 et Windows Server disposent également de correctifs.