Ce n'est pas dans l'annonce publique (on ne va pas non plus donner aux attaquants les moyens de reproduire l'attaque) mais plusieurs personnes ont pu confirmer que l'une des clés priâées en question étaxt bien 4.
Il ne s'agit pas de cryptographie RSA (ou la clé est deux nombres premiers) mais de courbes elliptiques (où la clé peut être n'importe quelle valeur aléatoire de 256 bits).
Ce n'est pas encore tout à fait clair ce qu'il s'est passé pour que 8 certificats soient signés avec des clés dont les 248 bits oe poids fort sont tous à 0. Les valeurs des 8 clés (et des liens vers plus oe détails) par exemple sur ce fil fediverse.
Posté par Voltairine .
Évalué à 6 (+4/-0).
Dernière modification le 21 octobre 2026 à 08:11.
Le titre choisi est sans doute ironique. En réalité la clef privée était comprise entre 1 et 256.
D'après ce commentaire sur bugzilla, il ya eu un problème de génération des clé utilisant des courbes elliptiques P384. Les clés privées auraient du être des entiers choisis aléatoirement entre 1 et 2384 mais les clés compromises utilisaient toutes des entiers inférieurs à 256. À partir de là il était sans doute assez trivial de les trouver (256 possibilités).
Posté par gUI (Mastodon) .
Évalué à 1 (+2/-4).
Dernière modification le 21 octobre 2026 à 09:20.
Oui ce sont bien des entiers. Mais sur ces entiers, on ne prend que les nombre premiers (1, 2, 3, 5, 7, 11, 13…) et donc pas le '4'.
Un nombre premier c'est un nombre qu'on ne peut pas écrire sous la forme d'une multiplication (autre que x1 évidemment), et comme 2 × 2 = 4 alors 4 n'est pas un nombre premier.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
Non, ça c'est certain N n'est généralement pas premier. La confusion vient de ce que les clefs RSA et DSA (d'autres peut-être encore) — soient celles de nombreux algorithmes de chiffrement antérieures — sont (sous toutes réserves) des nombres premiers.
Non, ça c'est certain N n'est généralement pas premier.
Ben si ?! Voir l'article Wikipédia lié par Voltairine :
Soit une courbe de formule y² = x³ + ax + b. C'est une courbe elliptique sur un corps d'entiers fini modulo p avec p un nombre premier et un point G de la courbe (appelé point de base). L'ordre de G est n, le plus petit entier tel que nG donne O le point à l'infini de la courbe et élément neutre du groupe commutatif sur les points de la courbe. Pour que tous les entiers entre 1 et n-1 soient inversibles modulo n, il est impératif que l'anneau Z / nZ soit un corps, et donc que n soit un nombre premier (c'est une conséquence du théorème de Bézout). Ainsi, dans ce qui suit, la notation k − 1 mod n lorsque k est un entier entre 1 et n-1 désigne l'inverse de k dans le corps Z / nZ.
(…)
Choisir un entier s entre 1 et n − 1 qui sera la clé privée.
Au temps pour moi. Merci. Ça explique ces choix qui m'intriguaient jusque là des longueurs de clefs de algorithmes à courbes elliptiques. Ça correspond donc aux nombres premiers de Mersenne.
Posté par NicolasP .
Évalué à 7 (+6/-0).
Dernière modification le 21 octobre 2026 à 18:51.
Ça explique ces choix qui m'intriguaient jusque là des longueurs de clefs de algorithmes à courbes elliptiques. Ça correspond donc aux nombres premiers de Mersenne.
Les choix usuels de longueurs de clefs sont 256,384 et 521 bits. Seule la dernière correspond à un nombre de Mersenne (2521-1).
Ces tailles sont avant tout liées aux niveaux de sécurité visés. Pour les courbes elliptiques classiques, la meilleure attaque générique connue a un coût de calcul proportionnel, en gros, à la racine carrée de l'ordre du groupe. On vise donc des groupes d'ordre proche de 2256, 2384 et 2512 pour obtenir respectivement 128, 192 et 256 bits de sécurité, qui sont des standards pour définir des niveaux de sécurité.
Une fois ces tailles déterminées par le niveau de sécurité recherché, on choisit des nombres premiers qui facilitent les calculs modulo p.
Il se trouve que les nombres de Mersenne marchent bien pour ça. Seulement aucun des nombres 2256-1, 2384-1 ou 2512-1 n'est un nombre de Mersenne. Les 2 nombres les plus proches sont 2127-1 et 2521-1. Le premier est clairement trop petit, pas contre le deuxième est très proche de ce qu'on cherchait pour le niveau de sécurité 256. Il a donc été choisi et ça explique pourquoi P521 correspond à un nombre de Mersenne.
Pour les deux autres tailles, vu qu'il n'y avait pas de nombre de Mersenne disponibles, ce sont des nombre de Solinas qui ont été choisis. Et là, il y en avait qui faisaient exactement 256 et 384 bits, donc pas de raison de choisir une autre taille.
Merci pour ces détails. Je suis juste distrait : le 521 m’a fait rester sur mon idée initiale de chercher des nombres premiers là où ils ne sont pas nécessaires. J’ai la tête dure.
il faudrait revoir ton écriture des nombres de Mersenne ;-) (et qu'une personne de la modération puisse corriger) :
soit 2^n - 1 avec un espace avant le -, pour donner 2n - 1 : sinon il est embarqué en exposant comme 2n-1 ce qui apparaît dans ton commentaire
soit la notation LaTeX $2^n - 1$ qui donne il y a même aide édition latex pour aider ;-)
Sinon, le site oeis (The On-Line Encyclopedia of Integer Sequences) fournit : https://oeis.org/wiki/Mersenne_primes liste d'autres nombres de Mersenne premiers
une liste (incomplète) des exposants possibles https://oeis.org/A000043 pour les nombres de Mersenne premiers
l'écriture des nombres de Mersenne en binaire est plus intéressante (même si attendue…) https://oeis.org/A117293
il faudrait revoir ton écriture des nombres de Mersenne ;-)
Ha oui effectivement :). Je me souviens m'être relu et avoir changé la tournure des phrases un paquet de fois pour trouver une formulation qui ne soit pas trop barbante. Et j'ai pas vu une seule fois l'erreur.
En notation LaTeX — paradoxalement et par antiphrase, je suppose que vous voyez ce que je veux signifier — que l'on mette ou omette des espaces. Et à l'étape de prévisualisation cette convention est parfaitement respectée — ce qui expliquerai le côté infructueux de la relecture mentionnée. Y aurait-il discordance entre prévisualisation et rendu final ?
Édition post envoi : il ne semble pas que ce soit les espaces qui ait été impliquées dans le mauvais rendu.
oui, l'intérêt du LaTex, c'est que c'est déterministe : un vrai interpréteur de langage est appelé pour tout ce qui est entre $ (bon il y a d'autres effets de bords avec le {mathjax} qui apparaît inopinément et dont il peut être plus difficile de se débarrasser :p).
pour le Markdown, une bonne connaissance des interprétations par expressions régulières est nécessaire : ça ne fait pas toujours ce que l'on aurait voulu :/
Ce pourquoi la prévisualisation permet de s'assurer que cela va rendre comme attendu (c'est un peu son but :D) et en plus cela permet de se relire et enlever les quelques fautes d'orthographe soulignées en rouge le plus souvent, elle est pas belle la vie _o/ ?
préfère-t-on écrire la partie à droite ou à gauche du signe = : 2n2 - 1 -1 = ? :D
ce qui est obtenu grâce à Markdown d'un côté et LaTeX de l'autre, le jeu des 7 différences est un bon exercice pour se rendre compte des différences de rendu :D
PS : il me semblait que les clefs étaient supposées être des nombres premiers. Je me trompe ?
Ici c'est de la cryptographie à base de courbe elliptique. Sur la courbe choisie, la clef privée est un nombre aléatoire sur une plage donnée d'environ 384 bits, sans aucune contrainte de primalité à respecter.
"eMudhra said the global SSL/TLS business brings in about 1% of its revenue.
"scrutiny that is out of proportion to SSL/TLS’s place in our business," the company said.
Ne semble pas comprendre les conséquences pour toutes les CA ou la possibilité d'usurper l'identité de n'importe quel site… et le côté "ce marché mineur pour nous qui nous pète à la gueule" ça me fait penser aux ordinateurs de vote/machines à voter où des boîtes comme Diebold jette des branches pour préserver l"image du coeur du business (cf https://en.wikipedia.org/wiki/Diebold_Nixdorf ).
Et bien sûr le tshirt "Begin RSA Private Key 4 End RSA Private Key" vendu sur tous les sites marchands…
# Prémonitoire :
Posté par ǝpɐןƃu∀ nǝıɥʇʇɐW-ǝɹɹǝıԀ (site web personnel) . Évalué à 10 (+13/-0).
« IRAFURORBREVISESTANIMUMREGEQUINISIPARETIMPERAT » — Odes — Horace
[^] # Re: Prémonitoire :
Posté par ǝpɐןƃu∀ nǝıɥʇʇɐW-ǝɹɹǝıԀ (site web personnel) . Évalué à 5 (+2/-0).
PS : il me semblait que les clefs étaient supposées être des nombres premiers. Je me trompe ?
« IRAFURORBREVISESTANIMUMREGEQUINISIPARETIMPERAT » — Odes — Horace
[^] # Re: Prémonitoire :
Posté par gUI (Mastodon) . Évalué à 5 (+2/-0).
J'ai pas compris cette histoire de "4". C'est écrit où dans le texte ?
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Prémonitoire :
Posté par pulkomandy (site web personnel, Mastodon) . Évalué à 6 (+3/-0).
Ce n'est pas dans l'annonce publique (on ne va pas non plus donner aux attaquants les moyens de reproduire l'attaque) mais plusieurs personnes ont pu confirmer que l'une des clés priâées en question étaxt bien 4.
Il ne s'agit pas de cryptographie RSA (ou la clé est deux nombres premiers) mais de courbes elliptiques (où la clé peut être n'importe quelle valeur aléatoire de 256 bits).
Ce n'est pas encore tout à fait clair ce qu'il s'est passé pour que 8 certificats soient signés avec des clés dont les 248 bits oe poids fort sont tous à 0. Les valeurs des 8 clés (et des liens vers plus oe détails) par exemple sur ce fil fediverse.
[^] # Re: Prémonitoire :
Posté par Benoit Sibaud (site web personnel) . Évalué à 8 (+5/-0).
https://arstechnica.com/security/2026/10/the-internet-goes-on-high-alert-after-discovery-of-8-compromised-tls-certs/
[^] # Re: Prémonitoire :
Posté par Voltairine . Évalué à 6 (+4/-0). Dernière modification le 21 octobre 2026 à 08:11.
Le titre choisi est sans doute ironique. En réalité la clef privée était comprise entre 1 et 256.
D'après ce commentaire sur bugzilla, il ya eu un problème de génération des clé utilisant des courbes elliptiques P384. Les clés privées auraient du être des entiers choisis aléatoirement entre 1 et 2384 mais les clés compromises utilisaient toutes des entiers inférieurs à 256. À partir de là il était sans doute assez trivial de les trouver (256 possibilités).
[^] # Re: Prémonitoire :
Posté par ǝpɐןƃu∀ nǝıɥʇʇɐW-ǝɹɹǝıԀ (site web personnel) . Évalué à 1 (+2/-4).
Plutôt 54 possibilités. Nombres premiers, tout ça…
« IRAFURORBREVISESTANIMUMREGEQUINISIPARETIMPERAT » — Odes — Horace
[^] # Re: Prémonitoire :
Posté par gUI (Mastodon) . Évalué à 5 (+2/-0).
À ce niveau là, c'est même pas la peine de s'emmerder à filtrer sur les nombres premiers ^^
Ok merci pour l'info.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Prémonitoire :
Posté par Voltairine . Évalué à 6 (+4/-0).
Je suis assez nulle sur le côté mathématique de la chose mais d'après cette description, il s'agit bien d'entiers pour la clef privée.
Voir aussi https://fr.wikipedia.org/wiki/Elliptic_curve_digital_signature_algorithm
[^] # Re: Prémonitoire :
Posté par gUI (Mastodon) . Évalué à 1 (+2/-4). Dernière modification le 21 octobre 2026 à 09:20.
Oui ce sont bien des entiers. Mais sur ces entiers, on ne prend que les nombre premiers (1, 2, 3, 5, 7, 11, 13…) et donc pas le '4'.
Un nombre premier c'est un nombre qu'on ne peut pas écrire sous la forme d'une multiplication (autre que x1 évidemment), et comme 2 × 2 = 4 alors 4 n'est pas un nombre premier.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Prémonitoire :
Posté par jtremesay (site web personnel) . Évalué à 10 (+8/-0).
Nope. Voltairine a raison. La clé privée elle même est un bien un entier, pas nécessairement premier.
La confusion vient peut-être du fait que la clé privée doit être choisi dans l'interval [1, N[, avec N un nombre premier.
[^] # Re: Prémonitoire :
Posté par gUI (Mastodon) . Évalué à 7 (+4/-0).
Oups ! Désolé pour la confusion anéfé. Merci à toi et Voltarine pour la correction.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Prémonitoire :
Posté par ǝpɐןƃu∀ nǝıɥʇʇɐW-ǝɹɹǝıԀ (site web personnel) . Évalué à 3 (+1/-1).
Non, ça c'est certain N n'est généralement pas premier. La confusion vient de ce que les clefs RSA et DSA (d'autres peut-être encore) — soient celles de nombreux algorithmes de chiffrement antérieures — sont (sous toutes réserves) des nombres premiers.
« IRAFURORBREVISESTANIMUMREGEQUINISIPARETIMPERAT » — Odes — Horace
[^] # Re: Prémonitoire :
Posté par jtremesay (site web personnel) . Évalué à 5 (+5/-2).
Ben si ?! Voir l'article Wikipédia lié par Voltairine :
[^] # Re: Prémonitoire :
Posté par Voltairine . Évalué à 6 (+4/-0).
n est un nombre premier
s est choisi au hasard entre 1 et n-1 est un entier
Exemple n=31
s est un entier choisi au hasard entre 1 et 30
[^] # Re: Prémonitoire :
Posté par ǝpɐןƃu∀ nǝıɥʇʇɐW-ǝɹɹǝıԀ (site web personnel) . Évalué à 5 (+2/-0).
Au temps pour moi. Merci. Ça explique ces choix qui m'intriguaient jusque là des longueurs de clefs de algorithmes à courbes elliptiques. Ça correspond donc aux nombres premiers de Mersenne.
« IRAFURORBREVISESTANIMUMREGEQUINISIPARETIMPERAT » — Odes — Horace
[^] # Re: Prémonitoire :
Posté par NicolasP . Évalué à 7 (+6/-0). Dernière modification le 21 octobre 2026 à 18:51.
Les choix usuels de longueurs de clefs sont 256,384 et 521 bits. Seule la dernière correspond à un nombre de Mersenne (2521-1).
Ces tailles sont avant tout liées aux niveaux de sécurité visés. Pour les courbes elliptiques classiques, la meilleure attaque générique connue a un coût de calcul proportionnel, en gros, à la racine carrée de l'ordre du groupe. On vise donc des groupes d'ordre proche de 2256, 2384 et 2512 pour obtenir respectivement 128, 192 et 256 bits de sécurité, qui sont des standards pour définir des niveaux de sécurité.
Une fois ces tailles déterminées par le niveau de sécurité recherché, on choisit des nombres premiers qui facilitent les calculs modulo p.
Il se trouve que les nombres de Mersenne marchent bien pour ça. Seulement aucun des nombres 2256-1, 2384-1 ou 2512-1 n'est un nombre de Mersenne. Les 2 nombres les plus proches sont 2127-1 et 2521-1. Le premier est clairement trop petit, pas contre le deuxième est très proche de ce qu'on cherchait pour le niveau de sécurité 256. Il a donc été choisi et ça explique pourquoi P521 correspond à un nombre de Mersenne.
Pour les deux autres tailles, vu qu'il n'y avait pas de nombre de Mersenne disponibles, ce sont des nombre de Solinas qui ont été choisis. Et là, il y en avait qui faisaient exactement 256 et 384 bits, donc pas de raison de choisir une autre taille.
[^] # Re: Prémonitoire :
Posté par ǝpɐןƃu∀ nǝıɥʇʇɐW-ǝɹɹǝıԀ (site web personnel) . Évalué à 5 (+2/-0).
Merci pour ces détails. Je suis juste distrait : le 521 m’a fait rester sur mon idée initiale de chercher des nombres premiers là où ils ne sont pas nécessaires. J’ai la tête dure.
« IRAFURORBREVISESTANIMUMREGEQUINISIPARETIMPERAT » — Odes — Horace
[^] # Re: Prémonitoire :
Posté par BAud (site web personnel) . Évalué à 5 (+3/-0).
il faudrait revoir ton écriture des nombres de Mersenne ;-) (et qu'une personne de la modération puisse corriger) :
2^n - 1avec un espace avant le-, pour donner 2n - 1 : sinon il est embarqué en exposant comme 2n-1 ce qui apparaît dans ton commentaireSinon, le site oeis (The On-Line Encyclopedia of Integer Sequences) fournit :
https://oeis.org/wiki/Mersenne_primes liste d'autres nombres de Mersenne premiers
[^] # Re: Prémonitoire :
Posté par NicolasP . Évalué à 5 (+3/-0).
Ha oui effectivement :). Je me souviens m'être relu et avoir changé la tournure des phrases un paquet de fois pour trouver une formulation qui ne soit pas trop barbante. Et j'ai pas vu une seule fois l'erreur.
Ce qui est intéressant c'est que cette suite est erronée. Elle était basée sur une erreur dans Wikipedia qui a été corrigée en 2017 : https://en.wikipedia.org/w/index.php?title=Solinas_prime&diff=next&oldid=699064491.
[^] # Re: Prémonitoire :
Posté par ǝpɐןƃu∀ nǝıɥʇʇɐW-ǝɹɹǝıԀ (site web personnel) . Évalué à 4 (+1/-0). Dernière modification le 28 octobre 2026 à 08:44.
En notation LaTeX
— paradoxalement et par antiphrase, je suppose que vous voyez ce que je veux signifier — que l'on mette ou omette des espaces. Et à l'étape de prévisualisation cette convention est parfaitement respectée — ce qui expliquerai le côté infructueux de la relecture mentionnée. Y aurait-il discordance entre prévisualisation et rendu final ?
Édition post envoi : il ne semble pas que ce soit les espaces qui ait été impliquées dans le mauvais rendu.
« IRAFURORBREVISESTANIMUMREGEQUINISIPARETIMPERAT » — Odes — Horace
[^] # Re: Prémonitoire :
Posté par NicolasP . Évalué à 3 (+1/-0).
Non non, j'ai fait l'erreur tout seul, sans excuse.
[^] # Re: Prémonitoire :
Posté par BAud (site web personnel) . Évalué à 3 (+1/-0).
oui, l'intérêt du LaTex, c'est que c'est déterministe : un vrai interpréteur de langage est appelé pour tout ce qui est entre
$(bon il y a d'autres effets de bords avec le{mathjax}qui apparaît inopinément et dont il peut être plus difficile de se débarrasser :p).pour le Markdown, une bonne connaissance des interprétations par expressions régulières est nécessaire : ça ne fait pas toujours ce que l'on aurait voulu :/
Ce pourquoi la prévisualisation permet de s'assurer que cela va rendre comme attendu (c'est un peu son but :D) et en plus cela permet de se relire et enlever les quelques fautes d'orthographe soulignées en rouge le plus souvent, elle est pas belle la vie _o/ ?
préfère-t-on écrire la partie à droite ou à gauche du signe
? :D
=: 2n2 - 1 -1 =ce qui est obtenu grâce à Markdown d'un côté et LaTeX de l'autre, le jeu des 7 différences est un bon exercice pour se rendre compte des différences de rendu :D
[^] # Re: Prémonitoire :
Posté par NicolasP . Évalué à 8 (+7/-0).
Ici c'est de la cryptographie à base de courbe elliptique. Sur la courbe choisie, la clef privée est un nombre aléatoire sur une plage donnée d'environ 384 bits, sans aucune contrainte de primalité à respecter.
# Autres liens
Posté par Benoit Sibaud (site web personnel) . Évalué à 7 (+4/-0). Dernière modification le 23 octobre 2026 à 07:29.
On peut générer de vrais/faux certificats
https://www.bortzmeyer.org/emudhra.html
eMudhra to Exit Global SSL/TLS Business After 8 Intermediate CA Keys Found Easily Guessable
https://thehackernews.com/2026/10/emudhra-to-exit-global-ssltls-business.html
Ne semble pas comprendre les conséquences pour toutes les CA ou la possibilité d'usurper l'identité de n'importe quel site… et le côté "ce marché mineur pour nous qui nous pète à la gueule" ça me fait penser aux ordinateurs de vote/machines à voter où des boîtes comme Diebold jette des branches pour préserver l"image du coeur du business (cf https://en.wikipedia.org/wiki/Diebold_Nixdorf ).
Et bien sûr le tshirt "Begin RSA Private Key 4 End RSA Private Key" vendu sur tous les sites marchands…
Elevate your
Envoyer un commentaire
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.