La faille des clés d’eMudhra révèle un risque pour les navigateurs et les outils crypto
Mozilla, Chrome, Apple et Microsoft ont rapidement déployé des blocages. Les clés eMudhra compromises peuvent aussi affecter le trafic API des exchanges, des wallets et des bots.
À retenir
- Huit clés privées d’eMudhra se sont révélées compromises, ce qui a permis de créer de faux certificats pour des sites web.
- Les navigateurs et les éditeurs de logiciels ont rapidement déployé des correctifs d’urgence ; Mozilla, Chrome, Apple et Microsoft ont bloqué les certificats concernés.
- Les outils crypto qui utilisent des certificats pour les exchanges et les wallets sont exposés, même si aucune attaque crypto n’a encore été signalée.
Les navigateurs et les éditeurs de logiciels ont déployé des correctifs d’urgence après la compromission de huit clés privées chez eMudhra, une autorité de certification indienne. L’affaire ne touche pas seulement la sécurité du web, mais aussi les outils crypto qui communiquent via des certificats avec des exchanges, des wallets et d’autres services.
Ce qui s’est exactement passé
L’alerte a été publiée le 17 octobre par le chercheur Wayne. Pour démontrer la faille, il a utilisé les huit clés compromises afin de signer numériquement son avertissement. Selon le signalement, ces clés pouvaient servir à créer des certificats apparemment valides pour des sites web.
C’est problématique, car les navigateurs et d’autres logiciels s’appuient sur les certificats numériques pour vérifier qu’un site est bien authentique. Selon The Register, eMudhra a émis plus de 60 millions de certificats. Si la clé privée d’une autorité de certification fuit ou est cassée, un attaquant peut falsifier des certificats qui paraissent fiables.
Pourquoi les utilisateurs de crypto doivent rester vigilants
Pour les utilisateurs de crypto, ce sujet est surtout pertinent en dehors du navigateur. De nombreux bots d’exchange, scripts de trading et backends de wallets fonctionnent sur Python, Node ou Go et s’appuient sur la même chaîne de certificats pour sécuriser les échanges de données. Un faux certificat pour une API d’exchange peut, en théorie, permettre à un attaquant d’intercepter ou de modifier le trafic sur le même réseau.
À ce stade, aucune attaque crypto n’a été signalée, pas plus qu’une attaque contre des utilisateurs. Mozilla a toutefois averti que des intercepteurs réseau utilisant ces faux certificats peuvent imiter des sites de confiance et ainsi lire ou modifier des données.
Des correctifs rapides, mais des questions ouvertes
Mozilla a mis en place un blocage en environ trois heures après l’alerte. Chrome a bloqué les certificats le jour même, Apple a suivi le 19 octobre et Microsoft le 20 octobre. eMudhra a également révoqué les certificats concernés.
La manière exacte dont les clés ont fuité n’est pas encore claire. Des chercheurs estiment qu’eMudhra utilisait des clés privées extrêmement faibles, comme de petits nombres au lieu de valeurs aléatoires robustes de 384 bits. Scott Helme a déclaré qu’il avait pu extraire les huit clés à partir de certificats publics en moins d’une seconde et qu’elles étaient visibles depuis avril 2025. Selon ses tests, des outils comme curl, Python, Node, Go et Java acceptaient un faux certificat pour l’API de Stripe, même si des correctifs sont désormais disponibles pour Go, le paquet certifi de Python et webpki-roots de Rust. Lors de la dernière vérification, Node.js restait vulnérable.
