Une faille de sécurité majeure, née d'une erreur de script lors de la génération de clés cryptographiques, a contraint Microsoft à invalider plusieurs autorités de certification. Cet incident, qui a perduré dix-huit mois sans être détecté, souligne les risques critiques liés à la gestion des infrastructures de confiance numérique.
Une erreur de génération aux conséquences critiques
Le problème trouve sa source le 30 avril 2025 au sein de l'entreprise eMudhra. Lors d'une opération de manipulation technique, un script défectueux a généré des clés privées d'une faiblesse extrême. Bien que reposant sur l'algorithme P-384, réputé robuste, ces clés présentaient une valeur inférieure à 256. Cette anomalie permettait, en moins de 256 tentatives, de retrouver une clé privée à partir de sa clé publique, rendant la protection cryptographique totalement inopérante.
Huit autorités de certification compromises
Au total, huit autorités de certification intermédiaires ont été affectées par cette vulnérabilité. Six d'entre elles étaient habilitées à délivrer des certificats TLS, essentiels pour sécuriser les échanges web, tandis que les deux autres servaient à la signature de code, un mécanisme garantissant l'origine et l'intégrité des logiciels installés sur les systèmes Windows. Si eMudhra assure qu'aucun certificat final n'a été émis par ces autorités, la simple existence de ces clés privées exposait les utilisateurs à des risques d'usurpation d'identité numérique et d'interception de données chiffrées.
Un échec des mécanismes de contrôle
L'aspect le plus préoccupant de cette affaire réside dans la durée de l'exposition : l'anomalie est passée inaperçue pendant dix-huit mois, échappant notamment à deux cycles d'audits indépendants. Ce délai met en lumière une défaillance dans les processus de vérification de l'autorité de certification. Pour limiter les risques d'exploitation, Microsoft a procédé à la révocation des autorités concernées le 18 octobre. Cette mesure préventive vise à empêcher qu'un attaquant ne puisse utiliser ces clés pour signer des logiciels malveillants ou créer de faux certificats de sites web, ce qui aurait pu tromper les systèmes de sécurité des utilisateurs finaux.