Chrome cessera de reconnaître certains certificats de sites web d'eMudhra le 27 octobre

Le 22 octobre, le conseil d'administration d'eMudhra a pris une décision rare pour une autorité de certification : quitter de lui-même le marché mondial des certificats SSL/TLS, ceux qui garantissent l'identité des sites web. Quelques jours plus tôt, l'entreprise indienne était au cœur d'un incident embarrassant : huit de ses clés de certificats intermédiaires étaient si mal générées qu'elles se devinaient en 256 essais.

Pour les exploitants de sites, la date à retenir est le 27 octobre. Ce matin-là (heure du Pacifique), Google doit retirer de Chrome la racine emSign ECC Root CA – G3, celle qui avait signé les huit intermédiaires compromis, selon Computerworld. Les certificats encore rattachés à cette racine cesseront alors d'être reconnus par le navigateur. Mozilla l'a déjà retirée de son magasin de confiance.

Pourquoi le navigateur coupe toute la racine

Avec ces clés faibles, n'importe qui pouvait fabriquer de faux certificats HTTPS pour des domaines qu'il ne contrôlait pas, et se faire passer pour un site légitime, rappelle Next. Les navigateurs ont bloqué très vite les intermédiaires concernés. Le retrait de la racine va plus loin : il touche aussi des certificats légitimes émis sous elle. Google demande à leurs titulaires d'installer sans attendre un certificat issu d'une autre hiérarchie de certificats reconnue par Chrome.

La version d'eMudhra

eMudhra attribue l'incident à des « erreurs humaines », rapporte Next. Dans son communiqué, elle affirme avoir révoqué les autorités concernées dans les 14 heures suivant la découverte. Selon elle, aucun certificat destiné à un utilisateur final n'avait été émis par ces autorités, et son infrastructure n'a pas été compromise. Le président, V. Srinivasan, explique que les certificats SSL/TLS ne pèsent qu'environ 1 % du chiffre d'affaires mondial du groupe. L'entreprise invoque des coûts de conformité croissants, la concurrence des certificats gratuits et une attention qu'elle juge disproportionnée sur les réseaux sociaux.

Elle promet de remplacer gratuitement les certificats de ses clients via des partenaires, de maintenir les services de révocation jusqu'à l'expiration des certificats émis et de publier un rapport complet sur les causes de l'incident. Ses racines RSA dites G1 continueront à servir pendant la transition. Ses autres activités (signature électronique, PKI d'entreprise) ne sont pas concernées.

Que faire avant le 27 octobre ?

Le navigateur n'est qu'une partie du problème. Sakshi Grover, analyste chez IDC citée par Computerworld, rappelle que les systèmes qui ont leur propre magasin de certificats (Java, proxys, équipements embarqués) restent exposés tant qu'ils ne sont pas mis à jour. Elle juge toutefois le risque d'exploitation limité, car il suppose de pouvoir intercepter le trafic.

• Recherchez dans votre parc les certificats émis par eMudhra ou emSign, et remplacez ceux qui dépendent de la racine emSign ECC Root CA – G3.
• Ne vous contentez pas d'une migration vers une autre racine du même émetteur : Niyati Daftary (Gartner) y voit « un pont possible », pas une destination finale, et Yash Kadakia (Security Brigade) conseille d'éviter de migrer deux fois.
• Mettez à jour vos environnements Java : selon Azul, Java ne vérifie pas la révocation par défaut, et ses mises à jour ajoutent les huit certificats à la liste de blocage du JDK.
• Appliquez les mises à jour des magasins de certificats de vos systèmes Linux et de vos équipements réseau.

Reste le rapport promis par eMudhra, sans date à ce stade. C'est lui qui dira comment des clés aussi faibles ont pu passer les contrôles.