eMudhra : Google retire un certificat racine après une faille

Le 27 octobre, Google a retiré le certificat racine emSign ECC Root CA – G3 d'eMudhra du Chrome Root Store. Les sites qui s'y appuient encore affichent désormais aux utilisateurs de Chrome un avertissement de sécurité en plein écran.

Cette décision fait suite à un incident survenu à la mi-octobre autour d'eMudhra, basée à Bangalore et première autorité de certification agréée d'Inde. Un chercheur a démontré que les clés privées de huit autorités de certification de sa hiérarchie mondiale étaient si faibles que n'importe qui pouvait les retrouver.

Une cérémonie de clés défaillante

Selon l'entreprise, les huit clés ont été générées lors d'une même cérémonie, le 30 avril 2025. Un défaut dans le script aurait produit un second jeu de clés faibles, utilisé par erreur car les étiquettes se ressemblaient. Chaque clé aurait dû compter environ 116 chiffres ; les huit étaient inférieures à 256. L'anomalie est passée inaperçue pendant environ 18 mois et deux cycles d'audit. Le cofondateur Kaushik Srinivasan parle d'« un incident isolé, une mauvaise journée ». Un rapport d'audit est attendu d'ici deux à trois semaines.

Après le signalement du chercheur le 17 octobre, les éditeurs de navigateurs ont réagi en quelques heures. Chrome a bloqué six certificats via sa liste CRLSet, Mozilla a fait de même dans Firefox. Apple a publié des correctifs pour Safari le 19 octobre, Microsoft pour Edge le 20. Mozilla a retiré la racine G3 de sa liste de confiance le 20 octobre. Selon Chrome, aucun certificat issu des six intermédiaires n'était apparu dans les journaux publics de Certificate Transparency avant le blocage : aucun n'a donc pu servir contre lui. Google examine aussi si les autres racines d'eMudhra doivent rester de confiance.

Retrait et responsabilité

Le 22 octobre, eMudhra a annoncé la fin de son activité de certificats SSL/TLS, avec le retrait des racines G3 et G1. Selon la société, cette activité pèse 1 % de son chiffre d'affaires. Ses clients comprenaient une fédération d'universités américaines et des administrations et entreprises hors des États-Unis.

En Inde, la réaction a été plus lente : le ministère des Technologies de l'information a constitué une équipe spéciale et le CERT-In a publié un avis quatre jours après le premier signalement. Reste à savoir qui peut demander des comptes à une autorité de certification, quelles règles ont pu être enfreintes et quelles sanctions sont possibles. Cotée en Inde depuis 2022, eMudhra délivre aussi des signatures numériques pour les déclarations fiscales, de TVA (GST), douanières et de droit des sociétés.