Sommaire
Suite du scandale emSign dont on vous parlait mardi : eMudhra, l’autorité de certification indienne derrière la marque, a annoncé ce jeudi 22 octobre qu’elle se retirait volontairement du marché mondial des certificats SSL/TLS. Pour rappel, huit de ses certificats d’autorité intermédiaire utilisaient des clés privées si faibles que des chercheurs les ont reconstituées en quelques secondes — l’une d’elles se résumait tout simplement au chiffre 4. Google, Mozilla, Apple et Microsoft ont bloqué sa racine « emSign ECC Root CA – G3 » dans leurs navigateurs.
La sanction a été immédiate : l’action a perdu 40 % en deux jours, et la direction reconnaît elle-même que ce segment ne pèse qu’1 % du chiffre d’affaires. Le conseil parle d’un « emballement médiatique hors de proportion », ce qui est une drôle de façon de dire qu’on s’est fait prendre avec des clés en carton. eMudhra promet de remplacer gratuitement les certificats affectés via des partenaires, et ses services de révocation resteront en ligne jusqu’à l’expiration ou au remplacement de tous les certificats émis. À noter : environ 30 800 certificats restaient chaînés à la racine bannie au 21 octobre, à 99,9 % via InCommon, la plateforme américaine qui sert le monde universitaire. Chrome coupera la confiance définitivement le 27 octobre au matin — si votre chaîne SSL passe par emSign, vérifiez aujourd’hui.
Lento dit : une autorité de certification avec une clé privée qui vaut 4. On répète : quatre. C’est censé être la fondation de la confiance sur internet, et ça a dormi dix-huit mois sur des clés bidon sans que personne ne s’en rende compte. Le bon côté des choses : ça montre à quoi servent les navigateurs quand ils font leur boulot de gendarmes. Regardez votre certificat maintenant — et si votre hébergeur vous a fourgué du emSign sans prévenir, envoyez-lui un petit mot.
