La grande illusion de la cybersécurité : Google Chrome y a cru pendant dix-huit mois

Sommaire

• En quoi ça te concerne, devant ton Chromebook
• Ce qui s’est passé est bête à pleurer
• La preuve tient en six mots
• Et là, ça va très vite
  • L’illusion du cadenas vert
• Pourquoi ton Chromebook parle de gravité « moyenne »
• Mardi prochain, des sites vont casser
• Ce que tu peux attendre, et ce que tu peux exiger
  • Partager :

Samedi 17 octobre 2026. Il est 18:05. Dans certains pays sur Terre, un certain nombre d’habitants se « foutaient sur la gueule ». Une histoire d’ego dans certains cas. De pouvoir pour d’autres. De rancœurs aussi. Bref, tout allait dans le meilleur des mondes. Pour ce qui me concerne, je ne faisais rien de spécial. Si. Regarder passer des nuages un peu sombres. En espérant qu’il allait pleuvoir dans les prochaines heures. Il est 18:05 en ce 17 octobre 2026. Quelque part sur Terre, un homme qui signe Wayne envoie un message à Google. Moins de deux heures plus tard, ton Chromebook était protégé. Tu pensais qu’il l’était. Oui, c’est vrai, mais pas assez. Il n’était pas protégé contre une attaque dont tu ignorais tout, jusqu’à son existence. D’ailleurs Google ne t’a même pas prévenu de cette compromission.

Mais si tu veux bien, on va s’intéresser à celle-ci. Pas de la technique. Ou alors un peu. Le minimum syndical. Pas plus. Mais plutôt de la question qui vient après. Elle est simple. Qui décide de te protéger ? Que se passe-t-il le jour où ce quelqu’un décide tout le contraire ?

En quoi ça te concerne, devant ton Chromebook

Tu ouvres ton Chromebook. Tu vas sur le site de ta banque. En haut à gauche, une petite icône de réglages. Tu l’as vu mille fois et tu n’y penses plus. Elle dit pourtant une seule chose. Le site d’en face est bien celui qu’il prétend être. Pas un autre. Surtout pas un imitateur. Or qui le garantit ? Pas Google. Pas ta banque non plus. En clair, c’est une société tierce, payée pour ça, qui signe une sorte de carte d’identité numérique. On appelle ça une autorité de certification. Ton navigateur en reconnaît quelques centaines, et de fait il leur fait confiance les yeux fermés.

Voilà le problème. Si l’une de ces sociétés perd ses clés, alors n’importe qui fabrique une fausse carte d’identité. Pour ta banque. Ta messagerie. Pour ce que tu veux. Et pourtant la petite icône de réglages s’affichera. Toute rassurante. Autrement dit, ton seul repère visuel te ment. C’est exactement ce qui vient d’arriver.

Ce qui s’est passé est bête à pleurer

L’autorité s’appelle eMudhra. Elle est indienne. En avril 2025, elle fabrique huit clés secrètes. Une clé secrète, c’est un très grand nombre tiré au hasard. De fait, tout tient dans ces deux derniers mots. Sauf que le hasard n’en était pas un. Le tirage était trop pauvre. Du coup, n’importe qui pouvait retrouver ces clés en partant d’informations parfaitement publiques. Pas besoin de pirater quoi que ce soit. Pas besoin d’entrer nulle part. En somme, il suffisait de calculer. 1 + 1 = la tête à Toto.

Autrement dit, ces clés n’ont jamais fuité. Au contraire, elles étaient disponibles dès le premier jour. Pendant dix-huit mois. Oui, tu as bien lu, dix-huit mois. Concrètement, six d’entre elles servaient à garantir des sites web. Les deux autres à signer des logiciels. Et comme si ça ne suffisait pas, chacune existe en double exemplaire, contresignée par une autre société. Au passage, ça nous fait seize certificats. Dix-huit mois. Personne n’a rien vu.

La preuve tient en six mots

Comment prouver qu’on détient la clé secrète de quelqu’un ? On ne la publie pas, bien sûr. Mieux : on s’en sert. Notre chercheur, qui se fait appeler Wayne, a écrit une phrase très courte. Six mots. « We have a problem here – Wayne ». En français : « Nous avons un problème ici, Wayne ». Ensuite il l’a signée avec les huit clés, une par une. Puis il a envoyé le tout aux fabricants de navigateurs.

Une signature, ça ne se bricole pas. Soit tu as la clé, soit tu ne l’as pas. Résultat, huit signatures valides valent huit clés détenues. Démonstration terminée, discussion close. Dennis Jackson, ingénieur chez Mozilla, a ensuite mis les preuves en ligne. Les certificats, les clés publiques, les signatures, et les commandes pour tout vérifier toi-même. Du coup personne n’a eu besoin de croire personne. Ça nous changera.

Et là, ça va très vite

Samedi 17 octobre, 18:05. Tout va bien sur Terre. On s’aime. On se fout sur la gueule. Pendant ce temps, Google reçoit le signalement. À 19:45, c’est bloqué. Pas corrigé dans une mise à jour que tu installeras un jour, quand tu y penseras. Non : bloqué, chez toi, immédiatement. Tu pourras râler, même fort. C’est bloqué. Point.

Comment ? Chrome tient une liste noire qu’il va chercher tout seul, en tâche de fond. Aucun redémarrage. Aucun bouton. Tu n’as rien à faire. C’est précisément le sujet de cet article. Ensuite, Mozilla est prévenu à 20:06 et termine à 22:59. Apple bloque le dimanche. Microsoft suit le lundi. Ce même lundi, vers 22:00, la protection arrive sur les téléphones sous Android par les services Google Play. Par ailleurs, Google écrit que les Googlebook ont reçu la même mise à jour par ce même canal. Même tuyau, même liste noire, même absence de bouton. Retiens-le bien : le Googlebook déjà en rayon a été protégé samedi soir exactement comme ton téléphone, et par le même mécanisme. Quatre entreprises américaines. Deux jours. La planète entière protégée. Impressionnant, non ? Cependant, j’y reviens plus bas.

Pourquoi ton Chromebook parle de gravité « moyenne »

Le 20 octobre, ChromeOS reçoit enfin sa mise à jour. Dans la liste des correctifs, une ligne. Gravité : moyenne. Texte : « Compromised 3rd-party CA certificates results in compromised TLS for all clients ». En français : « Des certificats d’autorité tierce compromis entraînent une compromission du chiffrement pour tous les clients ».

Pas de nom. Pas de numéro. Aucun lien. Rien. Moyenne, donc. Pour un truc qui permet de se faire passer pour ta banque. Et pourtant c’est logique, aussi bizarre que ça paraisse. En effet, la gravité ne décrit pas l’incident, elle décrit le correctif. Comme tu étais déjà protégé depuis samedi par la liste noire, cette ligne ne fait qu’intégrer la protection dans le système. Du rattrapage administratif, en somme. Ce même jour, Google publiait un billet complet sur l’affaire. Avec le nom de l’autorité, la chronologie, les explications. Or le billet ChromeOS, lui, n’y renvoie pas. Deux textes, même maison, même journée, et pas un lien entre les deux. Bref, cherche l’erreur.

Mardi prochain, des sites vont casser

Bloquer les huit clés ne suffisait pas. Google va donc plus loin et retire carrément une des racines de confiance d’eMudhra, emSign ECC Root CA – G3. Publication annoncée pour le mardi 27 octobre. En clair, les sites qui dépendent encore de cette racine ne s’ouvriront plus dans Chrome. Message d’erreur, page rouge, fin de la visite. Terminus. Pas parce qu’ils sont dangereux, note bien. Plutôt parce que la maison qui garantissait leur identité n’est plus crue sur parole.

Google leur demande d’en changer « without delay ». En français : « sans attendre ». Concrètement, il leur reste cinq jours. Si tu administres un site, va vérifier aujourd’hui. Si tu es simple lecteur, retiens plutôt ceci. Le jour où une page refusera de s’ouvrir chez toi la semaine prochaine, ce ne sera pas forcément ta machine qui déraille.

Ce que tu peux attendre, et ce que tu peux exiger

Revenons à cette fameuse question de ta protection.

Ce que tu n’auras pas. On ne te préviendra pas. Là encore, il n’y a eu aucune notification sur ton Chromebook, et il n’y en aura pas davantage la prochaine fois. Tu ne sauras pas non plus combien de fois par an ce mécanisme se déclenche. Et pour cause : personne ne publie ce chiffre.

Ce que tu peux légitimement attendre. Que ça fonctionne. Et ça a fonctionné, un samedi soir, en moins de deux heures. C’est même remarquable. Attends aussi que Google continue de raconter publiquement ces affaires, comme il l’a fait cette fois. Et je trouve sa démarche honnête. Oui, honnête. Car il aurait très bien pu se taire.

Reste une question, et je n’ai pas de réponse rassurante à te servir. Ta sécurité a tenu parce que trois ou quatre sociétés se sont parlé un samedi soir. Et non pas foutu sur la gueule. Pas parce qu’un texte les y obligeait. Mais qu’elles ont trouvé intelligent de discuter. Désormais tu le sais. Le jour où elles ne se parleront plus, ou décideront autre chose, on ne te demandera pas ton avis non plus.

Dors bien.