La clé secrète valait « 4 » : comment eMudhra a fragilisé le cadenas du Web

« L’une des clés privées de l’autorité de certification eMudhra est le nombre 4. » Pas un nombre qui commence par 4, précise le chercheur en sécurité Scott Helme : juste 4. Une autre vaut 56, une autre 115. Il les a retrouvées sur son ordinateur portable en moins d’une seconde. Derrière cette anecdote se cache un incident sérieux pour la sécurité du Web.

Le cadenas de votre navigateur

Quand vous visitez votre banque, le cadenas de la barre d’adresse garantit deux choses : la connexion est chiffrée, et le site est bien celui qu’il prétend être. Cette seconde garantie repose sur un certificat, une sorte de carte d’identité numérique délivrée par une autorité de certification. Votre navigateur fait confiance à une liste restreinte de ces autorités, et à tous les certificats qu’elles signent.

eMudhra est l’une d’elles, basée en Inde. L’entreprise revendique plus de 60 millions de certificats délivrés. Pour signer, chaque autorité utilise une clé privée qui doit rester secrète et impossible à deviner.

Pourquoi « 4 » est une catastrophe

Les clés en cause utilisent la cryptographie sur courbes elliptiques. Leur clé privée n’est qu’un nombre, et la clé publique, visible de tous dans le certificat, en est dérivée par un calcul facile dans un sens et pratiquement impossible dans l’autre. Cette sécurité ne tient que si le nombre est gigantesque et aléatoire : environ 10¹¹⁵ possibilités pour ce type de clé, impossibles à essayer. Avec une clé valant 4, il suffit d’essayer quelques valeurs pour la retrouver.

Huit certificats intermédiaires d’eMudhra étaient touchés, créés en avril 2025 : six servant aux sites web et deux à la signature de logiciels. Avec ces clés, explique Cloudflare, un attaquant pouvait fabriquer un faux certificat pour n’importe quel site et se faire passer pour lui afin d’intercepter ou de modifier le trafic.

Une réparation éclair

Un chercheur a signalé le problème le samedi 17 octobre 2026 à Apple, Google, Microsoft, Mozilla et eMudhra. Chrome a bloqué les certificats le soir même, Firefox quelques heures plus tard. Le mardi 20 octobre, Mozilla a rendu l’affaire publique et retiré la racine d’eMudhra de sa liste de confiance, et Google a confirmé faire de même. Cloudflare dit n’avoir constaté aucune exploitation sur ses services. eMudhra a révoqué les certificats concernés, mais d’autres logiciels et appareils doivent encore être mis à jour, selon The Register.

eMudhra s’est expliqué le 22 octobre, selon The Register. Les clés ont été créées lors d’une cérémonie de génération le 30 avril 2025, avec des modules matériels de sécurité certifiés. Mais « une faille » dans cette cérémonie aurait produit, à côté des clés solides, un second jeu de clés faibles, et ce sont celles-là qui ont été publiées. L’entreprise dit chercher encore la cause, rappelle que ces certificats ont passé deux audits indépendants, et précise que son activité de certificats pour sites web ne pèse que 1 % de son chiffre d’affaires.

Ce que vous devez faire

Pour un particulier, l’essentiel est simple : mettez à jour votre navigateur et votre système. Chrome, Firefox et Safari ont déjà été corrigés ou le seront à la prochaine mise à jour. Les administrateurs de serveurs, eux, doivent vérifier leurs magasins de certificats et ceux de leurs outils, comme le détaille Cloudflare.

En bref

• Plusieurs clés privées de l’autorité de certification eMudhra étaient trivialement faibles, dont une valant 4.
• Elles permettaient de créer de faux certificats pour n’importe quel site web.
• Chrome, Firefox et Apple ont bloqué les certificats concernés dès le 17 octobre.
• Mettez à jour navigateur et système pour être protégé.

Sources : Scott Helme (20 octobre 2026) ; Cloudflare (octobre 2026) ; The Register (20 octobre 2026).

Le Bien Heureux · Rédaction Capibara · Jeudi 22 octobre 2026