Résumé :
Apple a récemment bloqué huit certificats numériques présentant de graves problèmes de sécurité sur les appareils iOS et iPadOS afin d'empêcher les attaquants d'utiliser ces certificats pour se faire passer pour des sites Web légitimes, puis mener des attaques de phishing, de l'homme du milieu ou voler les données des utilisateurs. Cependant, les chercheurs en sécurité rappellent que certains outils du système macOS peuvent toujours faire confiance à ces certificats problématiques, et que les utilisateurs Mac et les administrateurs système doivent toujours prêter attention aux mises à jour de sécurité ultérieures.
Cet incident concerne huit certificats intermédiaires émis par eMudhra, une autorité de certification indienne. Les certificats numériques constituent un élément important du système de sécurité Internet. Lorsqu'un navigateur accède à un site Web, il utilise le certificat pour vérifier l'identité du serveur et protéger la transmission des données via des connexions cryptées HTTPS. Par exemple, lorsqu'un utilisateur visite le site Web d'une banque, le navigateur doit confirmer qu'il s'agit bien d'une connexion au serveur de la banque et non à un faux site Web créé par un attaquant.
Normalement, les autorités de certification doivent utiliser des clés cryptographiques suffisamment solides pour émettre des certificats afin de garantir que des tiers non autorisés ne peuvent pas usurper l'identité d'un site Web de confiance. Cependant, les chercheurs en sécurité ont découvert que les huit certificats impliqués dans eMudhra présentaient des problèmes de génération de clé extrêmement graves et que leurs clés privées se sont révélées être des nombres entiers inférieurs à 256. Cela signifie qu'un attaquant n'a besoin que d'essayer un très petit nombre de valeurs possibles pour avoir une chance de récupérer la clé privée correspondante, sans avoir besoin de faire de calculs complexes.
Selon l'enquête de Mozilla, ces clés privées sont extrêmement faciles à deviner. Pour la cryptographie moderne, cette situation équivaut à utiliser un numéro extrêmement simple comme mot de passe de compte, ce qui est totalement incapable d'assurer une sécurité normale. Une fois qu'un attaquant dispose des clés privées appropriées, il est possible de falsifier d'autres certificats émis par ces certificats, faisant croire à tort au logiciel concerné que la connexion est établie vers un site Web légitime.
Le danger de ce type d'attaque est que l'attaquant n'a pas nécessairement besoin de compromettre directement le serveur du site Web cible. Si un certificat HTTPS de confiance peut être falsifié et combiné avec une interception du trafic réseau et d'autres moyens, un attaquant peut usurper l'identité d'une banque, d'une entreprise ou d'un autre site Web légitime et inciter les utilisateurs à envoyer des mots de passe, des informations d'identité ou d'autres données sensibles à leur insu. Les attaquants peuvent également modifier le contenu des pages Web reçues par les utilisateurs pour commettre davantage de fraudes ou propager des logiciels malveillants.
Le problème associé a été signalé à l'équipe de sécurité du navigateur le 17 octobre 2026. Google, Mozilla et d'autres fabricants ont ensuite pris des mesures pour empêcher que les certificats concernés continuent d'être fiables. Mozilla distribue les informations de protection via le mécanisme de blocage des certificats OneCRL de Firefox. Les utilisateurs n'ont généralement pas besoin de mettre à jour manuellement le navigateur ou de redémarrer l'appareil pour obtenir une protection appropriée. Google a également mis à jour le mécanisme de blocage des certificats de Chrome et pris des mesures restrictives sur les certificats associés.
Apple a commencé à déployer des mesures de blocage pertinentes le 19 octobre. Selon les chercheurs en sécurité, ces mesures empêchent les logiciels qui s'appuient sur le mécanisme de vérification des certificats système d'Apple de faire confiance aux certificats concernés. Apple a agi un peu plus tard que Google et Mozilla, mais les certificats correspondants ont désormais été inclus dans le blocus.
Il convient de noter que ces huit certificats ne sont pas tous utilisés pour les connexions HTTPS aux sites Web. Six d'entre eux sont des certificats liés à TLS, et les deux autres impliquent des fins de signature de code. Les certificats de signature de code sont utilisés pour vérifier l'identité de l'éditeur du logiciel et si le logiciel a été falsifié. Par conséquent, de graves failles dans la clé privée du certificat peuvent également avoir un impact sur la distribution des logiciels et les systèmes de confiance.
Cependant, il n'existe actuellement aucune preuve que des attaquants aient utilisé ces certificats pour mener de véritables attaques. Les chercheurs en sécurité ont souligné que même si les certificats en question présentent de graves défauts, ils n'ont pas tous été utilisés dans des environnements de production. Google a également déclaré qu'avant de prendre les mesures de blocage, aucun certificat TLS émis par les six certificats intermédiaires concernés et entré dans les enregistrements de journaux pertinents n'avait été trouvé dans les journaux publics de transparence des certificats. Cela réduit quelque peu le risque d'abus des certificats HTTPS publics connus, mais n'exclut pas complètement l'impact potentiel sur d'autres logiciels ou environnements non publics.
Pour les utilisateurs Mac, la situation est un peu plus compliquée. Bien qu'Apple ait pris des mesures de blocage, l'ingénieur en cryptographie de Mozilla, Dennis Jackson, a souligné que l'outil de ligne de commande intégré de macOS, curl, pouvait encore avoir des problèmes de confiance. L'ensemble de certificats utilisé par cet outil ne vérifie pas les informations de révocation des certificats associés, donc dans certains cas, curl peut continuer à accepter les certificats même s'ils ont été déclarés invalides.
Cela signifie que les scripts, les outils de développement ou les services automatisés qui s'appuient sur le curl intégré de macOS pour les requêtes réseau peuvent avoir besoin de vérifier en plus leur propre comportement de vérification de certificat. Surtout pour les systèmes qui ont accepté les certificats pertinents, vous devez faire plus attention à savoir si les mesures de blocage des certificats couvrent réellement le logiciel et le mécanisme de stockage de confiance utilisés.
Pour les utilisateurs ordinaires, l'approche la plus sûre consiste à installer rapidement les mises à jour de sécurité du système et des logiciels fournies par Apple et à conserver la dernière version du navigateur. Les administrateurs et développeurs d'entreprise doivent vérifier si les serveurs, les outils de ligne de commande, les applications et les magasins de certificats personnalisés font toujours confiance aux certificats concernés et suivre les recommandations de détection et d'atténuation fournies par les chercheurs en sécurité.
Cet incident a également révélé un problème facilement négligé dans le système de certificat numérique : même si HTTPS utilise un algorithme de cryptage mature, si la clé privée utilisée dans le processus de génération de certificat est trop simple, l'ensemble du système de vérification d'identité peut toujours être facilement percé. La technologie de cryptage elle-même n’échoue pas. Le vrai problème réside dans les liens de génération de clés et de gestion des certificats.
eMudhra a déclaré qu'il n'y avait aucune preuve que son infrastructure ait été compromise et qu'aucune fuite de données pertinente n'a été découverte. L'agence travaille avec les clients potentiellement concernés pour les aider à remplacer les certificats concernés. Étant donné que ces certificats ont été générés en avril 2025 et que le problème existe depuis plus d'un an, les agences compétentes doivent confirmer davantage si d'autres logiciels, systèmes ou services se sont appuyés sur ces certificats pour établir des relations de confiance.
Dans l'ensemble, le blocage par Apple de ces huit certificats constitue une étape importante pour contrecarrer les attaques potentielles, mais la révocation des certificats ne signifie pas que tous les logiciels cesseront immédiatement de leur faire confiance. Pour les utilisateurs ordinaires, la mise à jour rapide des systèmes et des navigateurs constitue généralement la mesure de protection la plus directe ; pour les développeurs et les entreprises, il est nécessaire de vérifier davantage le mécanisme de vérification des certificats pour garantir que toutes les applications pertinentes peuvent identifier correctement les certificats expirés.
Commentaires