Alerte de sécurité : compromission de l'Autorité de Certification Intermédiaire eMudhra

Résumé Exécutif

Elo Touch Solutions surveille activement et traite une vulnérabilité cryptographique à l'échelle de l'industrie impliquant eMudhra Technologies Limited, une Autorité de Certification (AC) commerciale. Le 17 octobre 2026, des chercheurs en sécurité ont révélé que les clés privées associées à huit certificats de CA intermédiaires gérés par eMudhra ont été générées avec des défauts cryptographiques critiques (une entropie extrêmement faible de seulement 3 à 8 bits), permettant à des tiers de déduire immédiatement les clés privées de signature.

L'impact potentiel pour les clients d'Elo se limite aux gammes de produits professionnels Android et Windows d'Elo. Il est important de comprendre l'étendue de la protection automatique :

• Appareils Android 14 GMS : Protégé via une mise à jour d'urgence des services Google Play poussée le 19 octobre 2026.
• Appareils Windows : Protégé via la mise à jour de la liste de confiance des certificats non autorisés de Microsoft Windows le 20 octobre 2026, et une mise à jour automatique de CRLSet pour Microsoft Edge et WebView2.
• Android 13 et versions inférieures, constructions uniquement AOSP, et appareils non-GMS : Non protégés automatiquement. Les administrateurs doivent appliquer le plan d'atténuation manuel décrit dans cette alerte jusqu'à ce qu'une mise à jour de firmware officielle d'Elo OS intégrant le prochain correctif de Google soit publiée et installée.

Aucun autre produit Elo n'est affecté. L'infrastructure d'entreprise d'Elo, les services cloud (EloView, Elo Radar et Elo Remote) et les systèmes internes ne sont pas compromis. Au moment de cette alerte, aucun rapport d'exploitation active contre les clients d'Elo n'a été signalé.

Résumé en un clin d'œil

• Problème : Une faille cryptographique critique a été révélée concernant huit autorités de certification intermédiaires eMudhra, permettant potentiellement aux attaquants de falsifier des sites web sécurisés ou de contrefaire des signatures de confiance.
• Impact : L'impact est limité aux appareils Android et Windows professionnels d'Elo ; tous les autres produits et solutions Elo ne sont pas affectés. Cette vulnérabilité est strictement originaire du processus externe de génération de clés d'eMudhra. L'infrastructure, les plateformes cloud et les systèmes internes d'Elo sont complètement sécurisés et non compromis.
• Résolution pour Android (Android 14 GMS) : La protection a été fournie silencieusement et automatiquement via des mises à jour en arrière-plan des services Play et du navigateur. Aucun flashage de firmware ou action manuelle n'est requise.
• Résolution pour Android (Autres versions) : Pour Android 13 et versions inférieures, AOSP, et non-GMS, Google fournira un patch que d'Elo intégrera ensuite dans une mise à jour de firmware de l'OS. D'ici là, utilisez le plan d'atténuation manuel ci-dessous.
• Résolution pour Windows : Les mises à jour totalement automatisées de la liste de confiance des certificats non autorisés de Windows et de CRLSet bloquent automatiquement les clés compromises.

Analyse détaillée de l'impact par architecture sur Android

1. Navigateurs Web Android (Google Chrome)

Chrome gère son propre magasin de racines indépendant et ne s'appuie pas sur le magasin de confiance du système d'exploitation Android sous-jacent. Chrome a poussé des mises à jour internes silencieuses pour bloquer les certificats compromis via sa liste de révocation interne (CRLSet). De plus, l'application native de la transparence des certificats (CT) de Chrome rejettera instantanément toute tentative de présentation d'un certificat falsifié car aucun certificat légitime n'a été enregistré avant la révocation.

2. Applications Native Android utilisant WebView

Les applications utilisant l'API de contrôle WebView (comme le contrôleur WebView d'Elo) nécessitent des mises à jour au niveau du système :

• Sur les appareils Android 14 GMS : Les services Google Play ont automatiquement ajouté les huit hachages de clés publiques compromis à la liste noire sécurisée du système Android. La validation technique a montré que cette liste est arrivée dans l'une seconde suivant la connexion Internet sur des appareils réinitialisés à l'usine.
• Sur d'autres versions d'Android/AOSP : Les mises à jour au niveau du système ne sont pas disponibles via les services Play. Ces appareils restent vulnérables jusqu'à ce que la prochaine mise à jour de firmware Elo OS soit appliquée.

Plan d'atténuation manuel

Nécessaire pour Android 13 et versions inférieures, uniquement AOSP, et dispositifs non-GMS opérant dans des réseaux restreints.

Contrôle Compensatoire au Niveau du Réseau

Pour de grandes flottes d'entreprise, il est fortement recommandé de bloquer les connexions entrantes/sortantes présentant des certificats signés par les clés intermédiaires compromises d'eMudhra à votre passerelle web sécurisée ou votre pare-feu d'entreprise (par exemple, Zscaler, Palo Alto Networks, Fortinet).

Procédure de Désactivation Manuelle des Certificats

1. Accédez à Paramètres > Sécurité (ou Sécurité & Confidentialité > Plus de Paramètres de Sécurité).
2. Sélectionnez Chiffrement & autorisations > Certificats de confiance.
3. Sous l'onglet Système, localisez et basculez Désactiver sur les deux certificats racines suivants (couvrant à la fois les variantes directes et croisées) :
   • emSign ECC Root CA - G3 (Répertorié sous eMudhra Technologies Limited)
   • AAA Certificate Services (Répertorié sous Comodo CA Limited)

Remarque : La désactivation de ces racines sécurise TLS sur les systèmes Android et les applications WebView. Les navigateurs autonomes comme Chrome continueront à s'appuyer sur leurs propres mises à jour internes automatiques.

Vérification et Points de Test

Les administrateurs de sécurité peuvent valider les configurations de sécurité des appareils et des réseaux locaux à l'aide des points de test indépendants suivants :

• Test Intermédiaire Compromis Principal : https://dv-g3b-emudhra.we-have-a-problem.com/
• Référence Générale sur l'Incident et Suite de Test : https://emudhra.we-have-a-problem.com/

Autres Produits et Services Elo

Les displays tactiles interactifs Elo, les systèmes de signalisation, les systèmes de point de vente, les périphériques et les outils de gestion backend n'utilisent ni ne font confiance aux chaînes de certificats eMudhra affectées et sont totalement non affectés. Les services cloud d'Elo (y compris EloView, Elo Radar et Elo Remote) n'utilisent pas de certificats émis par eMudhra.

Références & Ressources

• Réponse de Microsoft à la compromission des clés de l'Autorité de Certification eMudhra
• Blog de Sécurité de Google : Protéger les utilisateurs de Chrome & Android contre les certificats CA intermédiaires eMudhra compromis

Clause de non-responsabilité : Les délais de livraison des mises à jour varient selon la région, le modèle d'appareil et le fournisseur tiers. Certaines mises à jour peuvent nécessiter que le système d'exploitation fonctionne avec la dernière version de maintenance avant que le correctif ne soit appliqué. Cette alerte est fournie "telle quelle" à des fins d'information uniquement ; Elo Touch Solutions décline toutes garanties, explicites ou implicites, y compris les garanties implicites de qualité marchande et d’adéquation à un usage particulier. Elo se réserve le droit de mettre à jour cette alerte à mesure que des informations supplémentaires sont disponibles.