Báo động toàn cầu sau khi phát hiện 8 chứng chỉ TLS bị xâm phạm

Giới bảo mật khắp thế giới đang ở trạng thái báo động cao sau khi phát hiện 8 chứng chỉ TLS có khóa riêng tư yếu đến mức bất kỳ ai cũng có thể tạo ra chứng chỉ trình duyệt và ứng dụng đáng tin cậy cho bất kỳ trang web nào trên Internet. Đây là một trong những sự cố nghiêm trọng nhất liên quan đến hạ tầng tin cậy của web trong nhiều năm trở lại đây.

Chuyện gì đã xảy ra?

Tám chứng chỉ trung gian (intermediate certificate) này thuộc về eMudhra Limited — một tổ chức cấp chứng chỉ (CA) có trụ sở tại Ấn Độ. Vào cuối tuần qua, một thông báo không chính thức được đăng tải trên trang emudhra.we-have-a-problem.com với nội dung ngắn gọn:

"We have a problem here - Wayne."

Điều đáng chú ý là dòng chữ này đã được ký số bằng khóa riêng tư của một trong các chứng chỉ eMudhra. Đây chính là bằng chứng cho thấy bên đưa ra cảnh báo đã nắm quyền kiểm soát khóa — và cũng là lúc giới phòng thủ mạng phải hành động khẩn cấp.

Vì sao lại nguy hiểm đến vậy?

Chứng chỉ trung gian cho phép bất kỳ ai nắm giữ khóa có thể tạo ra chứng chỉ hợp lệ cho bất kỳ tên miền nào. Kẻ tấn công có thể:

• Giả mạo chứng chỉ cho các ngân hàng, sàn thương mại điện tử hoặc dịch vụ email
• Thực hiện tấn công man-in-the-middle mà trình duyệt không hề phát hiện
• Đánh cắp thông tin đăng nhập, dữ liệu thanh toán và nội dung liên lạc của người dùng

Nói cách khác, toàn bộ chuỗi tin cậy của web — vốn là nền tảng cho giao dịch trực tuyến an toàn — đã bị đe dọa ở một mắt xích quan trọng.

Phản ứng của các bên liên quan

Tính đến cuối buổi sáng thứ Ba, các nhà sản xuất trình duyệt, một số ứng dụng lớn và các ngôn ngữ lập trình đã chặn toàn bộ 8 chứng chỉ trung gian nói trên. Các nhật ký minh bạch chứng chỉ (certificate transparency logs) — vốn theo dõi việc cấp phát mọi chứng chỉ được trình duyệt tin cậy — hiện chưa ghi nhận dấu hiệu nào cho thấy các khóa bị xâm phạm được sử dụng với mục đích xấu.

Tuy nhiên, như giới chuyên gia nhận định, mối đe dọa vẫn chưa kết thúc. Việc cập nhật các bộ phận khác của Internet sẽ rất khó khăn và tốn thời gian, bao gồm:

• Các bản phân phối Linux đang lưu trữ danh sách chứng chỉ tin cậy riêng
• Các thiết bị nhúng và thiết bị Internet vạn vật (IoT) khó cập nhật firmware
• Các hệ thống cũ, ít được bảo trì nhưng vẫn kết nối Internet

Bài học cho người dùng và doanh nghiệp

Sự cố này là lời nhắc nhở rằng hạ tầng tin cậy của Internet mong manh hơn nhiều người tưởng. Với người dùng Việt Nam, một số khuyến nghị thiết thực:

• Cập nhật trình duyệt và hệ điều hành lên phiên bản mới nhất để nhận danh sách chứng chỉ đã được vá
• Cảnh giác với các cảnh báo chứng chỉ bất thường khi truy cập trang ngân hàng hoặc dịch vụ thanh toán
• Doanh nghiệp vận hành hệ thống IoT nên rà soát khả năng cập nhật chứng chỉ gốc của thiết bị

Trong khi chưa có dấu hiệu khai thác thực tế, cộng đồng bảo mật vẫn đang theo dõi sát sao. Đây là minh chứng cho thấy chỉ một khóa riêng tư yếu cũng đủ để làm rung chuyển niềm tin của toàn bộ hệ sinh thái số.