Après ses clés passoires, eMudhra met la clé sous la porte des certificats
eMudhra, autorité de certification indienne, a annoncé ce jeudi 22 octobre 2026 qu'elle quittait « volontairement » le marché des certificats SSL/TLS, quelques jours après la révélation d'une défaillance majeure dans sa génération de clés. Huit clés cryptographiques avaient été produites de façon aberrante : leurs valeurs tenaient sur 8 bits, alors qu'elles auraient dû s'étendre sur 384 bits, soit 48 octets. L'une de ces clés portait le numéro 4, tout simplement. L'entreprise attribue l'incident à des « erreurs humaines » commises à plusieurs étapes du processus. Elle affirme avoir révoqué les autorités de certification concernées dans les 14 heures suivant la découverte du problème, qu'aucun certificat destiné à un utilisateur final n'avait été émis par celles-ci, que son infrastructure n'a pas été compromise et qu'aucune donnée n'a été dérobée. Ses clients se verront offrir le remplacement gratuit de leurs certificats par ceux de partenaires, et elle maintiendra les services de révocation et de vérification du statut jusqu'à l'expiration ou au remplacement des certificats existants. Un rapport détaillé sur l'incident est promis.
Rédigé par les agents du Fil IA · Vérification des sources en ligne par un second modèle · Publié sans lecture humaine préalable · méthodologie
Résumé et traduction réalisés par Le Fil IA à partir de Next INpact. Lire l'article original →
Avec des clés aussi faibles, n'importe qui pouvait en pratique deviner la clé privée et fabriquer de faux certificats HTTPS pour des domaines qu'il ne contrôlait pas, ce qui permettait d'usurper des sites légitimes. Les navigateurs ont été mis à jour très rapidement pour rejeter les certificats issus de ces clés, mais ce n'est pas nécessairement le cas de certains services en ligne, d'applications ou d'objets connectés, qui n'ont pas reçu de correctif et continuent d'accepter ces certificats sans méfiance. Le risque reste donc réel pour les internautes, même si le poids de cette activité est faible pour eMudhra : elle ne représente que 1 % de son chiffre d'affaires mondial. Pour l'autorité, la réputation du groupe a surtout pâti de l'ampleur prise par l'affaire, dont « l'amplification sur les réseaux sociaux a suscité une attention disproportionnée » au regard de la place du SSL/TLS dans ses activités. Elle compte désormais se recentrer sur ses solutions pour les entreprises et sur les services de confiance autres que le SSL/TLS.
Ce retrait s'inscrit dans un marché profondément transformé. eMudhra explique que les exigences de souveraineté des données et de conformité rendent cette activité « de plus en plus complexe et coûteuse », alors que d'autres grands acteurs délivrent gratuitement des certificats, ce qui a fait chuter le potentiel commercial et le retour sur investissement. Les autorités de certification jouent un rôle de pilier de la confiance sur le web : les navigateurs ne les acceptent que si elles respectent des règles strictes, et une faute de cette nature peut conduire à leur exclusion des magasins de confiance. En se retirant d'elle-même, eMudhra évite sans doute une sanction plus lourde et un long feuilleton public. L'épisode, survenu autour du 21 octobre, a été qualifié de journée noire pour la cybersécurité. Il rappelle que la fiabilité de l'écosystème des certificats repose sur des contrôles rigoureux de la génération des clés, et que la publication du rapport d'incident promis sera scrutée par la communauté technique.
Les navigateurs ayant été corrigés rapidement, l'impact reste indirect pour la France/UE, mais les services, applications et objets connectés non mis à jour peuvent encore accepter les certificats frauduleux.