Arnaques & cyberN° 2 · 21 octobre 2026
Une clé secrète trop simple met Internet en danger
Imagine qu’un cadenas censé protéger ta maison ait pour code 1-2-3. C’est ce qui vient de se passer sur Internet, avec des conséquences bien réelles.
Sur Internet, les sites sécurisés utilisent un système de cadenas numérique, appelé , pour prouver qu’ils sont bien ceux qu’ils prétendent être. Normalement, ce cadenas est protégé par une clé secrète très compliquée, impossible à deviner. Sauf que des chercheurs ont découvert que huit de ces clés secrètes étaient en réalité des nombres tout simples : 4, 56, 66… comme si tu choisissais 1234 pour ton code de téléphone.
Avec ces clés trop faciles, des pirates auraient pu créer de fausses cartes d’identité pour des sites web. Par exemple, un faux site de ton collège qui ressemblerait à l’original, mais qui volerait tes identifiants. Heureusement, les navigateurs comme Chrome ou Firefox ont bloqué ces certificats dangereux. Mais d’autres logiciels sur ton ordinateur ou ton téléphone pourraient encore être vulnérables.
Pour te protéger, mets à jour ton navigateur et ton système d’exploitation dès que possible. Si un site te semble bizarre ou te demande des informations personnelles sans raison, parle-en à un adulte de confiance ou signale-le au 3018.
certificat
Un certificat, c’est comme une carte d’identité pour un site web. Il prouve que le site est bien celui qu’il prétend être, et pas un faux.
En clair : Un certificat, c’est comme un passeport : il est délivré par une autorité officielle (l’autorité de certification) et prouve que tu es bien la personne ou le site que tu prétends être.
chiffrement
Transformer un message en code secret pour que seule la bonne personne puisse le lire.
En clair : Un cadenas sur ton journal intime, seul celui qui a la clé peut l'ouvrir.
faille de sécurité
Un point faible dans un logiciel qui peut permettre à un pirate d'entrer.
HTTPS
La version protégée de la connexion à un site web. Le petit cadenas dans la barre d'adresse le montre.
clé privée
Une clé privée, c’est comme un code secret ultra-complexe qui permet de prouver que tu es bien toi. Sur Internet, elle sert à signer des certificats pour montrer qu’un site est authentique.
En clair : Imagine que ta clé privée est comme la clé de ton coffre-fort. Si quelqu’un la trouve, il peut ouvrir le coffre et voler ce qu’il y a dedans. Sur Internet, si une clé privée est trop simple, un pirate peut l’utiliser pour se faire passer pour un site légitime.
protocole
Les règles que deux machines suivent pour se comprendre quand elles communiquent.
En clair : Les règles de politesse au téléphone, on dit allô, on se présente, on raccroche.
autorité de certification
Une autorité de certification, c’est une organisation qui délivre des certificats, un peu comme une mairie qui délivre des cartes d’identité. Elle vérifie que le site est bien celui qu’il prétend être avant de lui donner son certificat.
En clair : Une autorité de certification, c’est comme un notaire : elle vérifie ton identité avant de te délivrer un document officiel (le certificat) que tout le monde peut reconnaître.
Une erreur de débutant dans la génération de clés cryptographiques a failli permettre à des pirates de se faire passer pour n’importe quel site web. Explications.
En cryptographie, une doit être choisie au hasard parmi un nombre astronomique de possibilités pour éviter qu’un attaquant ne la devine. Pourtant, huit clés utilisées par l’entreprise indienne eMudhra pour signer des étaient des nombres ridiculement petits : 4, 56, 66, etc. Ces clés, associées à des intermédiaires, permettaient de créer de faux certificats pour usurper l’identité de n’importe quel site.
Un pirate disposant de ces clés pouvait fabriquer un certificat valide pour un domaine qu’il ne contrôlait pas, comme moncollege.fr. Si un logiciel vulnérable acceptait ce certificat, l’attaquant pouvait intercepter ou modifier les échanges entre toi et le serveur. Heureusement, les navigateurs comme Chrome et Firefox ont bloqué ces certificats en urgence, et les systèmes d’exploitation (Apple, Microsoft) ont suivi.
Le problème ne concerne pas le des données lui-même, mais l’authentification du serveur. Une connexion HTTPS ne sert à rien si elle est établie avec un imposteur. Certains outils, comme curl sur macOS, n’étaient pas protégés automatiquement. Mets à jour tes navigateurs, ton système d’exploitation et tes applications. Si tu utilises des outils techniques, vérifie aussi qu’ils ne sont pas vulnérables.
En cas de doute sur un site suspect, contacte le 3018 (harcèlement en ligne) ou 17Cyber (arnaques et piratages).
certificat
Un certificat numérique est un fichier qui atteste de l’identité d’un serveur ou d’une entité. Il est signé par une autorité de certification et contient une clé publique associée à une clé privée. Les navigateurs l’utilisent pour vérifier l’authenticité d’un site en HTTPS.
En clair : Un certificat, c’est comme un passeport : il est délivré par une autorité officielle (l’autorité de certification) et prouve que tu es bien la personne ou le site que tu prétends être.
chiffrement
Une technique qui rend un message illisible sans la clé qui permet de le déchiffrer. Elle protège par exemple tes messages et tes paiements sur Internet.
En clair : Un cadenas sur ton journal intime, seul celui qui a la clé peut l'ouvrir.
faille de sécurité
Une vulnérabilité dans un logiciel ou un matériel qu'un attaquant peut exploiter. Les mises à jour servent souvent à les corriger.
HTTPS
Le protocole HTTP sécurisé par chiffrement. Les échanges entre ton navigateur et le site ne peuvent pas être lus ni modifiés en route.
clé privée
En cryptographie, une clé privée est une valeur secrète utilisée pour signer des données ou déchiffrer des messages. Dans le contexte des certificats HTTPS, elle permet de prouver qu’un serveur est bien celui qu’il prétend être.
En clair : Imagine que ta clé privée est comme la clé de ton coffre-fort. Si quelqu’un la trouve, il peut ouvrir le coffre et voler ce qu’il y a dedans. Sur Internet, si une clé privée est trop simple, un pirate peut l’utiliser pour se faire passer pour un site légitime.
protocole
Un ensemble de règles qui fixe comment des appareils échangent des données, par exemple HTTP pour le Web ou SMTP pour les mails.
En clair : Les règles de politesse au téléphone, on dit allô, on se présente, on raccroche.
autorité de certification
Une autorité de certification (CA) est une entité qui émet des certificats numériques après avoir vérifié l’identité du demandeur. Les navigateurs et les systèmes d’exploitation font confiance à ces autorités pour valider les certificats des sites web.
En clair : Une autorité de certification, c’est comme un notaire : elle vérifie ton identité avant de te délivrer un document officiel (le certificat) que tout le monde peut reconnaître.
Une faille dans la génération de clés ECDSA P-384 a exposé des certificats intermédiaires, permettant potentiellement des attaques par usurpation de serveur. Analyse technique.
La récemment découverte concerne des utilisées dans des intermédiaires signés par eMudhra, une indienne. Ces clés, supposées être générées aléatoirement dans un espace de 2^384 valeurs possibles (courbe elliptique P-384), étaient en réalité des entiers inférieurs à 256. Cette faiblesse a été confirmée par Dennis Jackson, ingénieur en cryptographie chez Mozilla, qui a publié un rapport technique détaillant les huit clés compromises : six pour des connexions TLS et deux pour la signature de logiciels.
Le mécanisme d’attaque repose sur la capacité à signer de nouveaux certificats avec ces clés privées. Un attaquant pouvait ainsi créer un certificat valide pour un domaine arbitraire, comme google.com, et le faire accepter par un client vulnérable. La condition nécessaire pour exploiter cette faille est une attaque de type man-in-the-middle (MITM), où l’attaquant intercepte la connexion entre le client et le serveur. Bien que les navigateurs modernes aient bloqué ces certificats, d’autres logiciels (comme curl sur macOS) utilisaient des magasins de certificats distincts et restaient exposés.
La vulnérabilité ne remet pas en cause la robustesse des algorithmes de sous-jacents (comme TLS 1.3), mais souligne un problème d’implémentation dans la génération des clés. Les clés ECDSA P-384 doivent être choisies uniformément dans l’espace des scalaires valides pour éviter les attaques par force brute. Ici, la faible entropie des clés permettait de les retrouver presque instantanément à partir des certificats publics.
Les correctifs déployés par les navigateurs et les systèmes d’exploitation ont atténué le risque pour la plupart des utilisateurs, mais la diversité des infrastructures concernées (outils de développement, équipements réseau, etc.) rend la remédiation complexe. Les entreprises doivent auditer leurs applications pour s’assurer qu’elles n’acceptent plus ces certificats compromis.
Pour les développeurs, cette faille rappelle l’importance de suivre les bonnes pratiques en cryptographie : utiliser des bibliothèques éprouvées pour la génération de clés et vérifier régulièrement les mises à jour de sécurité.
certificat
Un certificat X.509 est une structure de données signée numériquement qui lie une clé publique à une identité (comme un nom de domaine). Il est utilisé dans des protocoles comme TLS pour authentifier les serveurs et établir des connexions sécurisées.
En clair : Un certificat, c’est comme un passeport : il est délivré par une autorité officielle (l’autorité de certification) et prouve que tu es bien la personne ou le site que tu prétends être.
chiffrement
Transformation d'un message à l'aide d'une clé. En chiffrement symétrique, la même clé sert à chiffrer et déchiffrer ; en chiffrement asymétrique, on chiffre avec une clé publique et on déchiffre avec la clé privée associée.
En clair : Un cadenas sur ton journal intime, seul celui qui a la clé peut l'ouvrir.
faille de sécurité
Défaut de conception ou d'implémentation exploitable pour contourner la sécurité. Une faille dite « zero day » est exploitée avant que l'éditeur ne publie de correctif.
HTTPS
HTTP encapsulé dans TLS. Le serveur présente un certificat signé par une autorité de confiance, puis les deux parties établissent une clé de session pour un chiffrement symétrique.
clé privée
Une clé privée est un scalaire ou un entier secret utilisé dans des algorithmes de cryptographie asymétrique (comme RSA ou ECDSA) pour générer des signatures numériques ou déchiffrer des données. Dans le cas de la courbe elliptique P-384, elle doit être choisie aléatoirement dans un espace de 2^384 valeurs possibles pour garantir la sécurité.
En clair : Imagine que ta clé privée est comme la clé de ton coffre-fort. Si quelqu’un la trouve, il peut ouvrir le coffre et voler ce qu’il y a dedans. Sur Internet, si une clé privée est trop simple, un pirate peut l’utiliser pour se faire passer pour un site légitime.
protocole
Spécification du format des messages et de leur enchaînement. Les protocoles sont organisés en couches (application, transport, réseau, liaison), chacune s'appuyant sur celle du dessous.
En clair : Les règles de politesse au téléphone, on dit allô, on se présente, on raccroche.
autorité de certification
Une autorité de certification est une entité racine ou intermédiaire qui signe des certificats X.509. Les CA racines sont préinstallées dans les magasins de certificats des navigateurs et des systèmes d’exploitation, tandis que les CA intermédiaires sont utilisées pour déléguer la signature de certificats tout en maintenant une chaîne de confiance.
En clair : Une autorité de certification, c’est comme un notaire : elle vérifie ton identité avant de te délivrer un document officiel (le certificat) que tout le monde peut reconnaître.