L'Internet passe en état d'alerte maximale suite à la découverte de 8 certificats TLS compromis
ars ·
Le personnel de sécurité du monde entier est en état d'alerte maximale suite à la découverte de huit certificats intermédiaires TLS compromis émis par eMudhra Limited, basée en Inde. Les clés privées associées à ces certificats se sont révélées critiques, avec une longueur variant de 3 à 237 bits, bien inférieure à l'entropie standard de 384 bits requise pour la cryptographie à courbe elliptique NIST P-384. Cette vulnérabilité permet à quiconque de générer des identifiants de confiance pour les navigateurs et applications destinés à n'importe quel site sur Internet, présentant un risque grave pour la sécurité numérique. Les principaux navigateurs ont déjà bloqué les certificats concernés, bien que certaines mises à jour pour les distributions Linux et les appareils IoT soient encore en attente. Les experts en cryptographie comparent l'ampleur des opérations de nettoyage nécessaires à celle de l'incident Heartbleed, notant que l'hétérogénéité des systèmes impliqués rendra la récupération particulièrement longue. Bien qu'aucune utilisation malveillante n'ait été signalée dans les journaux de transparence des certificats à ce jour, la menace reste active tant que tous les systèmes dépendants ne seront pas mis à jour. Les utilisateurs sont invités à faire preuve de prudence concernant les communications TLS non liées aux navigateurs, en particulier lors de l'utilisation de VPN dans des régions caractérisées par une surveillance agressive. Cet incident met en lumière la fragilité de l'écosystème TLS, où un seul maillon faible peut compromettre l'infrastructure mondiale de confiance.
ars