eMudhra rời bỏ mảng chứng chỉ TLS sau sự cố khóa bí mật chỉ bằng 4

eMudhra Limited, tổ chức cấp chứng chỉ (CA) có trụ sở tại Ấn Độ, vừa tuyên bố rút khỏi mảng chứng chỉ TLS toàn cầu sau một sự cố bảo mật nghiêm trọng. Công ty từng phát hành 8 chứng chỉ trung gian yếu đến mức bất kỳ ai cũng có thể tạo chứng chỉ giả cho mọi trang web hoặc máy chủ thư điện tử, trong đó có một chứng chỉ sử dụng khóa mã hóa riêng tư chỉ là số 4.

Sự cố "nghi thức" ký khóa thất bại

Vấn đề bắt nguồn từ một "nghi thức" ký khóa bị thực hiện sai, cho phép tạo ra thông tin xác thực web cho bất kỳ trang web nào. Điều này đồng nghĩa với việc kẻ tấn công có thể giả mạo chứng chỉ cho các trang web lớn, đánh lừa người dùng và trình duyệt.

Sự việc nhanh chóng lan truyền trên mạng xã hội, thu hút sự chú ý lớn từ cộng đồng bảo mật quốc tế. Các chuyên gia đánh giá đây là một trong những sai sót nghiêm trọng nhất trong lịch sử ngành chứng chỉ số.

Lý do rút lui

Ông V. Srinivasan, chủ tịch eMudhra Limited, viện dẫn nhiều lý do dẫn đến quyết định này:

• Chi phí và độ phức tạp của các yêu cầu tuân thủ ngày càng tăng
• Mảng TLS chỉ đóng góp 1% doanh thu của công ty
• Sự xuất hiện của các tổ chức cung cấp chứng chỉ TLS miễn phí làm giảm lợi tức đầu tư

"Tuy nhiên, mức độ lan truyền trên mạng xã hội quanh sự cố này đã mang lại sự giám sát vượt quá vị trí của SSL/TLS trong hoạt động kinh doanh của chúng tôi," công ty cho biết trong bài đăng hôm thứ Năm. "Trước tình hình đó, sau khi cân nhắc kỹ lưỡng, hội đồng quản trị đã kết luận rằng việc rút khỏi SSL/TLS toàn cầu là quyết định đúng đắn cho eMudhra và các cổ đông."

Góc nhìn cho người dùng Việt Nam

Đối với người dùng và doanh nghiệp Việt Nam, sự cố này là lời nhắc nhở về tầm quan trọng của hạ tầng chứng chỉ số. Khi một CA bị lỗi trong quy trình ký khóa, toàn bộ hệ sinh thái web có thể bị ảnh hưởng, từ trang thương mại điện tử đến ứng dụng ngân hàng số.

Việc các trình duyệt và hệ điều hành lớn thường xuyên cập nhật danh sách CA tin cậy cũng là cơ chế bảo vệ quan trọng. Doanh nghiệp Việt nên ưu tiên sử dụng chứng chỉ từ các nhà cung cấp có quy trình kiểm toán nghiêm ngặt và theo dõi các thông báo thu hồi chứng chỉ để đảm bảo an toàn cho hệ thống của mình.