En bref

  • Deux mises à jour publiées le 26 octobre visent les appareils Windows qui ne reçoivent pas automatiquement les changements de confiance des certificats.
  • Selon BleepingComputer, huit clés privées eMudhra étaient si faibles que leur valeur pouvait être retrouvée en testant seulement 256 possibilités.
  • Le retrait de certificats racines dépasse le blocage initial des huit autorités intermédiaires et peut rendre invalides d'autres certificats qui en dépendent.
  • Microsoft examine encore les autres racines eMudhra, tandis que les administrateurs doivent repérer les certificats dépendant des racines supprimées.

Une mise à jour pour les machines coupées du service Microsoft

Microsoft a publié le 26 octobre deux mises à jour Windows hors calendrier pour modifier la confiance accordée aux certificats eMudhra. Une mise à jour hors bande, dite OOB, paraît en dehors du rythme habituel. KB5134133 concerne Windows 11 en versions 24H2, 25H2 et 26H2. D'après BleepingComputer, KB5134125 couvre aussi Windows 10 en versions 21H2 et 22H2. Le paquet pour Windows 11 reprend également les améliorations de mises à jour antérieures.

La mesure vise surtout les appareils sans accès à Internet ou incapables de joindre le service de certificats de Microsoft. Elle concerne aussi ceux dont les mises à jour automatiques de la liste de confiance ont été désactivées. Cette liste indique à Windows les certificats acceptés ou rejetés. Sans actualisation, une machine pourrait continuer à reconnaître une autorité devenue indésirable. Le paquet cumulatif intègre donc directement la nouvelle liste, comme le confirme Microsoft.

Ce que protège réellement une chaîne de certificats

Un certificat numérique sert de preuve d'identité à un site, un service ou un logiciel. Une autorité de certification garantit cette preuve en la signant. Windows reconnaît des autorités racines, placées au sommet de chaînes de confiance. Elles peuvent déléguer l'émission à des autorités intermédiaires, dont les certificats héritent alors de cette confiance. Chaque maillon permet au système de remonter jusqu'à une racine déjà considérée comme fiable.

Une clé privée est le secret utilisé par une autorité pour produire une signature reconnue comme authentique. Si un tiers la récupère, il peut créer de faux certificats qui paraissent légitimes. Selon BleepingComputer, les clés concernées auraient permis d'imiter des sites et d'intercepter des communications chiffrées. Un appareil trompé pourrait alors accepter un intermédiaire comme s'il communiquait avec le véritable service. Le média ne rapporte toutefois aucune exploitation effective de cette possibilité.

Huit secrets que 256 essais suffisaient à retrouver

BleepingComputer attribue l'incident à huit clés privées d'autorités intermédiaires eMudhra générées en avril 2025. Leurs valeurs auraient toutes été inférieures à 256. Il devenait donc possible de les retrouver presque immédiatement en essayant seulement 256 nombres. Cette faiblesse ne nécessitait pas de pénétrer les systèmes de l'autorité pour obtenir les secrets. Elle réduisait la recherche à un nombre d'essais extrêmement limité, d'après les éléments rapportés par le média.

Le média précise que six certificats intermédiaires servaient au protocole TLS et deux à la signature de code. TLS désigne le mécanisme qui chiffre notamment les échanges avec un site web. La signature de code permet de vérifier l'origine et l'intégrité d'un logiciel. Une fausse signature pouvait ainsi toucher deux usages différents de la confiance numérique. Dans un cas, elle concernait les communications. Dans l'autre, elle pouvait faire paraître un programme comme provenant d'un signataire reconnu.

Du blocage ciblé au retrait des racines

Après la divulgation, eMudhra a révoqué les huit certificats intermédiaires concernés, selon BleepingComputer. Révoquer un certificat consiste à signaler qu'il ne doit plus être accepté, même si sa période de validité continue. Mozilla, Google, Apple et d'autres éditeurs ont également commencé leur révocation. Microsoft avait déjà ajouté les huit autorités à la liste Windows des certificats interdits. Edge et WebView2 avaient reçu une liste séparée pour bloquer les certificats TLS concernés sans mise à jour du navigateur.

La nouvelle décision va plus loin que ce premier blocage ciblé. Selon BleepingComputer, Microsoft retire sept certificats liés aux hiérarchies touchées. Ils comprennent six racines eMudhra G3 et une signature croisée AAA Certificate Services. Une signature croisée permet à une autorité d'être reconnue par l'intermédiaire d'une autre chaîne de confiance. Une racine supprimée ne peut plus valider les certificats placés sous elle. Le changement peut donc affecter des certificats étrangers aux huit clés faibles déjà identifiées.

Compatibilité, effets secondaires et prochaines décisions

Ce retrait élargi peut empêcher la validation de services ou de logiciels encore rattachés aux racines supprimées. BleepingComputer rapporte que Microsoft invite les administrateurs à identifier ces dépendances, puis à remplacer les certificats concernés si nécessaire. Une organisation peut rétablir localement sa confiance pour répondre à un besoin précis de compatibilité. Microsoft distingue toutefois cette décision du simple blocage des autorités intermédiaires compromises. L'organisation doit l'assumer selon sa propre évaluation de sécurité et ses règles internes.

La page Microsoft classe KB5134133 comme une mise à jour cumulative non sécuritaire, malgré son effet sur la confiance. Elle signale aussi un problème distinct avec Smart App Control, qui peut rester impossible à activer s'il était désactivé. Cette fonction contrôle l'exécution d'applications jugées peu fiables. Microsoft fournit deux méthodes de résolution destinées aux appareils concernés. Les machines inscrites au dispositif Hotpatch ne recevront plus ces correctifs avant la base de janvier 2027. Selon BleepingComputer, Microsoft examine encore les autres racines eMudhra et pourrait modifier de nouveau ses listes.

Ce qui reste à confirmer

La page Microsoft fournie confirme l'objectif et le périmètre de KB5134133 pour Windows 11, mais pas les détails techniques de la faiblesse. Le nombre de clés, leurs valeurs, les révocations des autres éditeurs, KB5134125 et le retrait précis des sept certificats reposent uniquement sur BleepingComputer. Le dossier ne contient ni déclaration directe d'eMudhra, ni preuve d'exploitation, ni inventaire des services encore dépendants des racines retirées.

Sources consultées