Mise à jour 2 - eMudhra en Inde provoque une alerte mondiale en raison d'une faille de sécurité et se retire de l'activité de sécurité des sites web

Ajoutez des citations et des détails dans tout l’article

Abhirami G

Reuters, 22 octobre - La société de sécurité numérique eMudhra (EMUD.NS) se retire de son activité d’émission de certificats numériques pour des sites web mondiaux , y compris le portail fiscal indien. Cette décision fait suite au fait que les principaux éditeurs de navigateurs ont bloqué ces certificats en raison de failles de sécurité , des failles ayant soulevé des inquiétudes mondiales en matière de cybersécurité.

Jeudi, la société a annoncé cette décision, après que des géants de la tech comme Google GOOGL.O, Apple AAPL.O et Microsoft MSFT.O ont cessé de faire confiance à ses certificats SSL/TLS – lesquels servent à chiffrer les données transmises entre les utilisateurs et les sites web pour empêcher toute interception par des pirates informatiques.

Les vulnérabilités ont été révélées le week-end dernier, lorsqu’un chercheur indépendant en cybersécurité a découvert que plusieurs certificats majeurs d’eMudhra présentaient de possibles failles exploitables.

La clientèle d’eMudhra est étendue, allant des géants informatiques comme Infosys (INFY.NS) et TCS (TCS.NS) jusqu’aux organismes gouvernementaux, ses certificats sécurisant de nombreux sites essentiels dont le portail de l’impôt sur le revenu en Inde.

« Les certificats d’eMudhra sont largement reconnus à l’international et ce genre de vulnérabilité a provoqué une crise de confiance dans le secteur mondial de la cybersécurité », a déclaré Mredul Sarda, fondateur de la société de cybersécurité basée à San Francisco, Causal Security.

eMudhra a précisé dans un communiqué que la faille était passée inaperçue pendant dix-huit mois, malgré deux audits consécutifs.

Le cofondateur Kaushik Srinivasan a indiqué à Reuters que la faille provenait de huit clés créées par eMudhra en avril de l’année dernière, dont la longueur avait été involontairement réduite par le logiciel, diminuant fortement leur niveau de sécurité.

Une clé de chiffrement est une longue chaîne de caractères, utilisée dans les algorithmes pour crypter et décrypter les données. Mais la longueur des clés d’eMudhra était trop faible, rendant le chiffrement plus facilement cassable.

« Si une autorité de certification est piratée, l’attaquant peut se faire passer pour n’importe quel site web », a expliqué Lukasz Olejnik, consultant indépendant et chercheur invité principal au Département des Études de Guerre du King’s College de Londres .

Bien que les navigateurs aient rapidement bloqué les certificats compromis, certains appareils connectés, mis à jour moins fréquemment, peuvent rester vulnérables. « Des millions d’appareils anciens pourraient rester à risque pendant des années voire indéfiniment, car ils font toujours confiance à ces certificats », a déclaré Olejnik.

Le groupe indien d’intervention en cas d’urgence informatique a indiqué mercredi qu’une partie des certificats intermédiaires d’eMudhra avaient été exposés.

eMudhra a indiqué avoir révoqué huit certificats mais a affirmé que son infrastructure n’avait pas été touchée et qu’aucune fuite de données n’avait eu lieu.

La société a précisé que l’attention portée sur les réseaux sociaux avait entraîné une surveillance disproportionnée pour une activité qui ne représente que 1 % de ses revenus.

La réaction des investisseurs a été forte : après la révélation de la faille, le cours de l’action eMudhra a chuté de 40 % en deux jours.

(Pour faciliter la lecture aux personnes non anglophones, Reuters fournit certains de ses reportages traduits automatiquement dans d’autres langues. Les traductions automatiques pouvant contenir des erreurs ou ne pas inclure tous les éléments de contexte nécessaires, Reuters ne garantit pas l’exactitude de ces textes, proposés uniquement à titre de service. Reuters décline toute responsabilité pour les dommages ou pertes causés par l’utilisation de ces traductions automatiques.)