Un cadenas en chocolat. Vous regardez le petit verrou à gauche de l’adresse et vous tapez le mot de passe de votre exchange. Depuis samedi soir, ce réflexe protège un peu moins qu’avant. Huit certificats eMudhra, des intermédiaires de cette autorité indienne, ont été fabriqués avec des clés privées qu’un ordinateur portable retrouve en moins d’une seconde, et n’importe qui les détenant pouvait signer un faux certificat pour n’importe quel site. Chrome, Firefox, Apple et Microsoft ont déjà tranché. Vos bots de trading et vos applications maison n’ont probablement pas encore reçu l’information. Un boulevard pour les pirates qui veulent voler vos cryptomonnaies.
- Des clés privées d’eMudhra ont été compromises, permettant de créer de faux certificats pour n’importe quel site.
- Les navigateurs Chrome, Firefox, Apple et Microsoft ont rapidement réagi pour bloquer ces certificats compromis.
Certificats eMudhra : la clé privée qui s’appelait 4
Petit rappel de mécanique. Quand votre navigateur ouvre une page en HTTPS, le site lui présente un certificat, une carte d’identité numérique signée par une autorité de certification (CA). Les navigateurs font confiance à une centaine d’autorités « racines », qui délèguent la signature quotidienne à des certificats intermédiaires. Celui qui possède la clé privée d’un intermédiaire peut donc produire un certificat valable pour coinbase.com ou binance.com, et le navigateur affichera le cadenas sans broncher.
C’est exactement ce qui est arrivé. eMudhra, qui vend ses certificats sous la marque emSign et revendique plus de 60 millions de certificats émis, a généré le 30 avril 2025 huit intermédiaires (six pour le web, deux pour la signature de code) avec des clés privées valant des entiers inférieurs à 256. Le chercheur Scott Helme l’a résumé sans ménagement. L’une des clés est le nombre 4, une autre 56, une autre 115, le tout récupéré depuis les certificats publics en moins d’une seconde. Une clé P-384 normale est un nombre aléatoire sur 384 bits, soit environ 10 puissance 115 possibilités. Plusieurs chercheurs, dont Scott Helme, ont depuis retrouvé indépendamment les clés de ces certificats eMudhra.
Un membre de la communauté, crédité sous le seul prénom de Wayne, a signé le message « We have a problem here » avec chacune des huit clés et l’a envoyé aux programmes racines le samedi 17 octobre. eMudhra a reconnu dans le ticket Bugzilla de Mozilla un défaut du script utilisé lors de la cérémonie de génération des clés et « des erreurs humaines à plusieurs étapes du processus ».
Qui vous protège des certificats HTTPS forgés, et qui ne le fait pas
Les navigateurs ont réagi en quelques heures. D’après le billet de Mozilla, le rapport est arrivé à 20h06 UTC le 17 octobre et le blocage OneCRL était poussé à toutes les installations Firefox à 22h59. Chrome avait verrouillé dès 19h45 via ses CRLSets. Apple a suivi le 19 et Microsoft le 20. Ces listes de révocation se mettent à jour toutes seules. Pas besoin de réinstaller quoi que ce soit, ni même de redémarrer.
Mieux encore, aucun des certificats eMudhra signés par ces intermédiaires n’apparaît dans les journaux de Certificate Transparency (le registre public où tout certificat web doit être consigné pour être accepté par Chrome ou Safari). Personne n’a donc pu vous piéger via un navigateur moderne. Le problème est ailleurs, dans tout ce qui parle HTTPS sans être un navigateur.
Cloudflare, qui a découvert l’affaire le 19 octobre vers 17h UTC, le dit crûment dans son analyse : « un attaquant peut créer un certificat forgé pour n’importe quel domaine et l’utiliser pour se faire passer pour des serveurs afin d’intercepter ou de modifier le trafic ». Les programmes en Go ou les scripts Python qui embarquent le paquet certifi ne consultent aucune liste de révocation. Ils continuent de croire eMudhra tant qu’on ne les recompile pas. Go et certifi ont publié leurs correctifs le 20 octobre, Node.js n’a encore qu’un brouillon.
Exchange, wallet web, bot de trading, vos trois points de contrôle
Pour l’utilisateur qui se connecte à Binance ou Kraken depuis Chrome ou Firefox à jour, le risque est déjà traité. Vérifiez quand même qu’aucune mise à jour n’attend, et sur Linux, mettez à jour le paquet ca-certificates. Ubuntu, Debian et Arch ont livré leur correctif.
Le vrai angle mort, c’est votre bot de trading ou votre script d’arbitrage qui appelle l’API d’un exchange en Python ou en Go. Un faux certificat signé avec l’une des huit clés y passerait sans alerte, pour peu que l’attaquant soit déjà sur votre chemin réseau (wifi public, DNS détourné). Mettez à jour les dépendances pour qu’elles rejettent les certificats eMudhra compromis, puis redéployez. Et surtout, si des erreurs de certificat apparaissent après la mise à jour, ne les faites pas disparaître en désactivant la vérification, c’est précisément la protection que vous venez de restaurer.
Dernier point, valable pour tous. Vérifier l’URL ne sert à rien contre un certificat forgé, puisque l’URL est la bonne. Ce qui vous sauve, c’est que la transaction se signe hors du navigateur. Un wallet matériel qui affiche l’adresse de destination sur son propre écran reste indifférent à ce qui se passe entre votre PC et le serveur.
Mozilla a retiré de sa liste de confiance la racine emSign ECC Root CA – G3 (celle qui signait les certificats eMudhra compromis) le 20 octobre, Chrome fera de même dans la version 43 de son magasin et réexamine la seconde racine d’eMudhra. L’autorité indienne a chiffré à environ 30 000 les certificats clients à migrer vers sa racine RSA. C’est la deuxième entaille dans la confiance du web ce mois-ci, après les certificats frauduleux obtenus pour des domaines Google via trois registres nationaux piratés, dans un contexte français déjà tendu par la vague de cyberattaques du 17 octobre.
L’article Faille HTTPS : 8 certificats eMudhra compromis, vos bots crypto encore exposés est apparu en premier sur Journal du Coin.
