Des certificats TLS eMudhra compromis imposent des mises à jour

La découverte de huit certificats TLS intermédiaires compromis chez l’autorité de certification indienne eMudhra a déclenché une mobilisation des équipes de sécurité, rapporte Ars Technica. Leurs clés privées étaient suffisamment faibles pour permettre la fabrication de certificats non autorisés susceptibles d’être reconnus comme fiables.

Selon l’article, des éditeurs de navigateurs ainsi que certaines applications et certains langages avaient déjà bloqué ces certificats mardi en fin de matinée. Ce premier déploiement ne garantit toutefois pas une protection uniforme. Les distributions Linux, les appareils embarqués et les objets connectés présentent des délais de mise à jour susceptibles de prolonger l’exposition.

Le constat doit rester distinct d’une exploitation avérée. Ars Technica ne rapporte pas de traces d’utilisation malveillante de ces clés dans les journaux de transparence des certificats. Cette absence de signalement ne permet pas, à elle seule, de conclure à une absence totale d’abus.

L’exploitation décrite exige également une position active d’intermédiaire sur le trafic : l’attaquant doit pouvoir intercepter les échanges et les retransmettre. La seule connaissance d’une clé compromise ne suffit donc pas à intercepter arbitrairement toutes les connexions.

L’enjeu opérationnel est la diffusion des blocages jusque dans les logiciels et équipements moins régulièrement entretenus. L’incident illustre ainsi la différence entre une mesure rapidement appliquée dans des navigateurs et son adoption dans l’ensemble des environnements utilisant TLS.