Huit certificats intermédiaires de l’autorité de certification indienne eMudhra (marque emSign) ont été générés avec des clés privées d’une faiblesse extrême, certaines étant des nombres entiers inférieurs à 256, récupérables en moins d’une seconde depuis les certificats publics. Les navigateurs Chrome, Firefox, Apple et Microsoft ont bloqué ces certificats en quelques heures via leurs listes de révocation, mais les bots de trading et les scripts en Python ou Go qui utilisent le paquet certifi ne consultent aucune liste de révocation et restent vulnérables. Environ 30 000 certificats clients doivent migrer vers la racine RSA d’eMudhra. Les experts recommandent de mettre à jour les dépendances et de ne jamais désactiver la vérification des certificats pour corriger les erreurs, sous peine de supprimer la protection nouvellement restaurée.
Source: Lire l’article original
