La clé privée qui protégeait une autorité de certification de confiance était le chiffre 4
Pas un nombre de 384 bits commençant par un quatre. Le chiffre quatre. Un chercheur utilisant le pseudonyme Flupke a publié cette clé privée sur GitHub, parce qu'il n'y restait plus aucun secret à protéger.
Les autorités de certification sont ce petit groupe d'organismes auxquels votre navigateur fait confiance pour se porter garant des sites web. eMudhra en fait partie, une société indienne dont le certificat racine est intégré à Firefox, Chrome, Safari et Windows. Lors d'une cérémonie de génération de clés en avril 2025, un script défectueux a produit un second lot de clés à côté des bonnes, chaque valeur étant inférieure à 256, donc retrouvable en essayant 256 nombres. Les étiquettes ressemblaient assez aux vraies pour que le personnel choisisse le mauvais lot. Huit certificats intermédiaires sont sortis signés par des clés qu'un ordinateur portable pouvait deviner pendant la pause déjeuner, et quiconque en détenait un aurait pu fabriquer un certificat HTTPS d'apparence valide pour n'importe quel site de son choix.
Le nettoyage a été rapide. Mozilla a reçu le signalement à 20h06 UTC le 17 octobre et les utilisateurs de Firefox étaient protégés dès 22h59 le même soir, grâce à OneCRL, une liste de révocation qui atteint les navigateurs sans mise à jour. Chrome a bloqué le jour même, Apple le 19, Microsoft le 20. Rien n'indique que les clés aient été exploitées, et la plupart des huit certificats n'ont jamais servi en production, même si la fenêtre était techniquement ouverte depuis avril de l'an dernier.
La partie automatique vous protège sans rien demander. Le reste non: Firefox 158.0.1, les magasins de certificats racines mis à jour, les environnements d'exécution corrigés sous d'autres logiciels arrivent par des mises à jour ordinaires, et un navigateur en retard de trois versions n'en reçoit aucune. La vérification des mises à jour d'applications de Tendvane passe par winget et remet Chrome, Firefox et Edge à niveau en une seule fois.