eMudhra thừa nhận khóa riêng tư yếu đến khó tin: một khóa chỉ là số "4"

Tổ chức chứng thực số eMudhra của Ấn Độ đang phải giải thích về việc sử dụng những khóa riêng tư cực kỳ yếu để ký một số chứng chỉ số do mình phát hành. Đáng chú ý, một trong số khóa này chỉ đơn giản là số "4". Công ty cho rằng mình đã vượt qua các đợt kiểm toán độc lập và chỉ mắc phải một lỗi kỹ thuật khó hiểu.

Khóa riêng tư yếu đến mức không thể tin nổi

Theo thông tin được công bố, các khóa riêng tư mà eMudhra dùng để ký chứng chỉ số yếu một cách khó hiểu. Một khóa đúng nghĩa chỉ là số "4", còn nhiều khóa khác chỉ là những chuỗi ngắn gồm hai hoặc ba chữ số dễ đoán. Với những khóa như vậy, việc suy ra giá trị là điều hoàn toàn dễ dàng, từ đó mở đường cho kẻ xấu làm giả chứng chỉ và mạo danh các trang web hoặc tài nguyên số khác.

Đây là "món quà trời cho" đối với các đối tượng lừa đảo, những kẻ chuyên phát tán phishing và các loại tội phạm mạng khác. Cả ngành an ninh thông tin đã lên tiếng chỉ trích, kêu gọi nhanh chóng chuyển sang các chứng chỉ tốt hơn, đồng thời than thở rằng việc triển khai chứng chỉ thay thế sẽ là một công việc dài hơi và nhiều vất vả.

Lời giải thích của eMudhra

Trong tuyên bố về sự cố, eMudhra cho biết công ty đã tạo khóa trong "Nghi thức Tạo khóa (KGC) diễn ra ngày 30/4/2025, sử dụng các Mô-đun Bảo mật Phần cứng (HSM) đạt chuẩn FIPS 140-2 Cấp 3".

Đây vốn là thiết bị tiêu chuẩn cho công việc này và về lý thuyết phải tạo ra những khóa phức tạp, được lưu trữ an toàn. Nhưng đã có sự cố xảy ra.

"Một lỗi trong KGC khiến bước đóng/gỡ (wrap/unwrap) tạo ra thêm một bộ khóa yếu bên cạnh các khóa mạnh ban đầu", tuyên bố viết. "Các khóa yếu là những khóa được công bố vào kho gốc của trình duyệt. eMudhra đang nỗ lực xác định nguyên nhân gốc."

Đáng chú ý, công ty sau đó tỏ ra khá phòng thủ khi nhấn mạnh rằng các chứng chỉ gốc và tổ chức phát hành này "đã trải qua kiểm toán độc lập hai năm liên tiếp và nằm trong danh sách tin cậy của trình duyệt từ giữa năm 2025". Cách diễn đạt này dường như ngầm chia sẻ một phần trách nhiệm cho các đơn vị kiểm toán và các bên liên quan khác.

Tuyên bố cũng nêu rằng mảng kinh doanh TLS của eMudhra chỉ chiếm khoảng 1% doanh thu, nghĩa là sự cố này sẽ không ảnh hưởng nhiều đến lợi nhuận của công ty.

Vấn đề không nằm ở lợi nhuận

Thông tin trên có thể hữu ích cho nhà đầu tư, nhưng lại bỏ qua điểm mấu chốt: bất kỳ ai đang phụ thuộc vào công ty này giờ đây đều phải đối mặt với một công việc cấp bách, ngoài mong muốn và tốn kém là thay thế chứng chỉ.

eMudhra cho biết đang trực tiếp làm việc với các khách hàng có thể bị ảnh hưởng để cấp chứng chỉ thay thế, nhằm không làm gián đoạn các dịch vụ quan trọng. Công ty cũng đang phối hợp với các chương trình gốc (root programs) và tiếp tục điều tra nguyên nhân gốc.

Công ty thừa nhận sự cố "có thể gây ra một số rủi ro về danh tiếng đối với eMudhra mà không thể định lượng được".

Bài học cho hệ sinh thái chứng chỉ số

Sự cố của eMudhra là lời nhắc nhở rõ ràng rằng việc tuân thủ các tiêu chuẩn và vượt qua kiểm toán chưa đủ để đảm bảo an toàn tuyệt đối. Một lỗi nhỏ trong quy trình tạo khóa có thể làm sụp đổ toàn bộ nền tảng tin cậy mà một tổ chức chứng thực xây dựng.

Với người dùng và doanh nghiệp tại Việt Nam, đây cũng là lời cảnh tỉnh: khi triển khai chứng chỉ SSL/TLS cho website hay dịch vụ, cần ưu tiên các nhà cung cấp có uy tín, minh bạch trong quy trình tạo khóa và sẵn sàng xử lý sự cố nhanh chóng. Hệ sinh thái chứng chỉ số toàn cầu vốn phụ thuộc lẫn nhau, nên một mắt xích yếu ở bất kỳ đâu cũng có thể tạo ra rủi ro lan rộng.