eMudhra : un script Python défaillant a affaibli des clés privées

Nouvelles révocations et causes

Le rapport révèle aussi que eMudhra a révoqué le 7 novembre huit paires de clés RSA supplémentaires. Le 19 octobre, l'entreprise affirmait pourtant que les émetteurs RSA n'étaient pas touchés. Le script n'a pas raccourci ces clés, mais leurs attributs privés ont transité dans la mémoire volatile d'un processus Python, et eMudhra ne peut démontrer qu'elles ont été manipulées conformément à ses propres règles.

Sont concernés six certificats TLS et deux certificats de signature de code. Sur 195 certificats finaux recensés, 130 provenaient de l'autorité EM DV TLS CA – G2C, désormais révoquée, et couvraient des domaines d'universités, d'un comté et d'eMudhra elle-même. L'entreprise maintient que les clés d'origine, générées lors de la cérémonie du 30 avril 2025, étaient correctes et que les HSM ne sont pas en cause : elle met en avant le script et des contrôles de processus insuffisants.

Ce transfert aurait été exceptionnel : retards de livraison du matériel, changement de politique des programmes racine au 15 juin 2025 et échéance de certification croisée avec Sectigo imposaient de générer les clés avant fin mai 2025.

Un enjeu majeur

Avec de telles clés, un attaquant pourrait émettre de faux certificats pour des domaines qu'il ne contrôle pas et mener des attaques de l'homme du milieu, a prévenu le CERT-In indien le 21 octobre. Google, Microsoft, Apple et Mozilla ont bloqué les huit certificats intermédiaires, et Cloudflare et d'autres ont déployé des correctifs. eMudhra a depuis annoncé quitter le marché mondial des certificats numériques pour se concentrer sur la signature électronique et l'authentification en Inde.