Si vous êtes ingénieur logiciel ou travaillez dans la tech, vous avez probablement entendu parler de la compromission de la CA intermédiaire eMudhra, divulguée le 20 octobre 2026. Vous avez peut-être remarqué une vague de mises à jour logicielles pour les produits que vous utilisez. Plutôt que de répéter tout le contexte, déjà couvert dans des publications publiques comme le rapport de bug de Mozilla, désormais public, cet article se concentre sur l'impact sur les objets connectés (IoT), en particulier les appareils de type microcontrôleur (MCU).
Certains lecteurs ont été alertés par les commentaires autour de la compromission, dont le message de Russ Cox sur Bluesky mettant en garde contre le fait que les boîtiers IoT qui ne peuvent pas ou ne sont pas mis à jour deviennent trivialement vulnérables aux attaques MITM pour toujours. Le message de Scott Helme, arrivé en tête de Hacker News, a lancé un avertissement tout aussi fort concernant les caméras, routeurs, voitures, dispositifs médicaux, terminaux de paiement et contrôleurs industriels, dont les paquets sont figés jusqu'en 2039.
La portée de ces avertissements dépend de ce que l'on considère comme un objet connecté. Un ordinateur monocarte comme le Raspberry Pi, ou tout appareil fonctionnant sous Linux, est probablement touché et doit être mis à jour rapidement via une solution de mise à jour à distance (OTA). En revanche, les parcs de MCU ne sont probablement pas directement concernés. Pour comprendre pourquoi, il faut avoir une connaissance de base de l'infrastructure à clés publiques (PKI) et de la PKI du web.
Les appareils et les navigateurs sont livrés avec des ensembles de certificats d'autorités de certification racines qui servent d'ancres de confiance. Chaque site HTTPS présente une chaîne de certificats remontant à l'une de ces racines, ce qui permet aux clients de vérifier l'identité. Comme les MCU ne stockent généralement qu'un petit ensemble fixe de racines, ils ne sont pas exposés de la même manière que les systèmes à usage général.
Source: Hacker News · Résumé par HeadlinesBriefing