Apple chặn khẩn cấp chứng chỉ từ eMudhra sau sự cố lộ khóa riêng của 8 CA trung gian

Apple vừa công bố một động thái bảo mật quan trọng: từ ngày 19/10/2026, hãng bắt đầu chặn các chứng chỉ do những CA trung gian (Intermediate CA) bị xâm phạm của eMudhra phát hành cho mục đích TLS. Sự việc ảnh hưởng tới toàn bộ hệ sinh thái thiết bị Apple, từ iPhone, iPad đến máy Mac.

Điều đáng lo ngại là khóa riêng của tám CA trung gian do eMudhra vận hành đã bị lộ. Trong đó, hai CA dùng để ký chứng chỉ code signing (vốn không được các framework của Apple tin cậy), còn sáu CA phát hành chứng chỉ TLS — nhóm gây ra rủi ro lớn nhất.

Rủi ro thực sự nằm ở đâu?

Khi ai đó nắm trong tay khóa riêng của một CA trung gian TLS, họ có thể tạo ra những chứng chỉ trông hoàn toàn hợp lệ cho bất kỳ website nào — từ ngân hàng trực tuyến, ví điện tử cho tới email doanh nghiệp. Đây chính là kịch bản kinh điển của các cuộc tấn công man-in-the-middle, nơi người dùng hoàn toàn không hay biết mình đang truy cập một trang web giả mạo.

Kẻ có khóa của sáu CA trung gian này có thể tạo chứng chỉ trông hợp lệ cho bất kỳ website nào.

Cả eMudhra và Sectigo đều đã thu hồi các chứng chỉ bị ảnh hưởng. Mỗi CA trung gian TLS trong số sáu CA nói trên có hai chứng chỉ, tổng cộng 12 chứng chỉ:

• Chứng chỉ do emSign Root TLS CA - G3 phát hành, chuỗi tin cậy dẫn tới emSign ECC Root CA - G3
• Chứng chỉ được Sectigo ký chéo, chuỗi tin cậy dẫn tới AAA Certificate Services

Người dùng phổ thông không cần làm gì

Với phần lớn người dùng, đây là tin tốt: họ không cần thao tác gì cả. Safari, Mail và mọi ứng dụng sử dụng các framework mạng và bảo mật của Apple đã tự động chặn các chứng chỉ này.

Dữ liệu cấu hình chứng chỉ được Apple đẩy xuống thiết bị tự động và theo nhu cầu, nên người dùng không cần cài bản cập nhật phần mềm nào để nhận thay đổi này. Đến ngày 23/10/2026, Apple tiếp tục bổ sung lệnh chặn cho chính chứng chỉ gốc emSign ECC Root CA - G3.

Đáng chú ý là cơ chế trên áp dụng ngay cả với những người dùng iPhone tại Việt Nam chưa từng nghe tới eMudhra — đây là lợi ích của hệ sinh thái chứng chỉ tập trung do Apple quản lý. Trong khi đó, trên Android, cơ chế cập nhật chứng chỉ tin cậy phụ thuộc nhiều hơn vào nhà sản xuất thiết bị và phiên bản hệ điều hành.

Dân quản trị hệ thống và lập trình viên cần chú ý

Rủi ro còn tồn đọng nằm ở những ai dùng Terminal trong công việc hằng ngày. Một số công cụ dòng lệnh đi kèm macOS hoặc Xcode Command Line Tools — bao gồm curl, git, python3, ruby, perl và openssl — kiểm tra chứng chỉ dựa trên tệp /etc/ssl/cert.pem.

Vấn đề là với những chứng chỉ có chuỗi tin cậy dẫn tới một chứng chỉ gốc trong tệp này, các công cụ đó không kiểm tra lệnh chặn của Apple và cũng không kiểm tra chứng chỉ đã bị thu hồi hay chưa. Tệp /etc/ssl/cert.pem sẽ được cập nhật trong một bản macOS trong tương lai, kèm theo các thay đổi khác mà không cần người dùng chỉnh sửa thủ công.

Nếu không muốn chờ, quản trị viên có thể chủ động xóa các chứng chỉ gốc liên quan khỏi tệp. Các bước thực hiện như sau:

• Sao lưu tệp: [ -e /etc/ssl/cert.pem.orig ] || sudo cp -p /etc/ssl/cert.pem /etc/ssl/cert.pem.orig
• Xóa emSign ECC Root CA - G3 khỏi tệp bằng lệnh awk kết hợp mktemp và install như mô tả trong tài liệu hỗ trợ của Apple
• Tùy chọn: xóa thêm AAA Certificate Services để chặn sáu chứng chỉ do Sectigo ký chéo, do các công cụ này vẫn có thể xác thực chúng qua chuỗi tin cậy đó
• Kiểm tra lại kết quả bằng openssl crl2pkcs7 kết hợp grep; nếu lệnh báo lỗi, khôi phục bản sao lưu ở bước đầu

Cảnh báo về tác động phụ

Apple cũng lưu ý rằng việc chỉnh sửa /etc/ssl/cert.pem ảnh hưởng tới mọi công cụ sử dụng tệp này. Sau khi xóa, những công cụ chỉ dựa vào tệp này có thể không xác minh được một số website có chứng chỉ chuỗi tin cậy đi qua các CA trung gian khác nhưng không bị ảnh hưởng — tức là có thể phát sinh lỗi kết nối ngoài ý muốn.

Bên cạnh đó, một bản cập nhật macOS có thể ghi đè /etc/ssl/cert.pem bằng phiên bản của Apple. Cho đến khi cài bản cập nhật chứa thay đổi chính thức, quản trị viên nên chạy lại lệnh kiểm tra sau mỗi lần cập nhật hệ thống để phát hiện tệp đã bị thay thế.

Với những ứng dụng và công cụ tự mang danh sách chứng chỉ gốc riêng, không dùng cơ chế chặn của Apple hay tệp /etc/ssl/cert.pem, người dùng cần liên hệ trực tiếp nhà phát triển để được hướng dẫn.

Bài học cho hạ tầng chứng chỉ số

Sự cố eMudhra là lời nhắc nhở rằng chuỗi tin cậy của Internet vẫn rất mong manh trước những sơ suất trong quản lý khóa riêng tại các CA trung gian. Chỉ một khóa bị lộ là đủ để tạo ra chứng chỉ giả cho hàng triệu tên miền, và việc thu hồi chỉ có hiệu quả khi toàn bộ hệ sinh thái — hệ điều hành, trình duyệt, thư viện mạng — đồng loạt cập nhật danh sách chặn.

Với các tổ chức tại Việt Nam vận hành hệ thống dùng macOS trong môi trường doanh nghiệp, đây là thời điểm hợp lý để rà soát quy trình quản lý chứng chỉ nội bộ, kiểm tra xem có công cụ nào phụ thuộc vào /etc/ssl/cert.pem hay không, và cân nhắc triển khai lệnh xóa chứng chỉ qua giải pháp quản lý thiết bị (MDM) thay vì thao tác thủ công trên từng máy.