eMudhra từ bỏ mảng chứng chỉ SSL/TLS toàn cầu sau bê bối khóa riêng tư chỉ là số 4

Sau khi bị phát hiện sử dụng những khóa riêng tư yếu đến mức khó tin — trong đó có một khóa chỉ đơn giản là con số 4 — tổ chức cấp chứng chỉ (CA) eMudhra của Ấn Độ đã quyết định rút lui hoàn toàn khỏi mảng kinh doanh chứng chỉ SSL/TLS toàn cầu.

Một con số 4 làm khóa riêng tư

Sự việc bắt đầu từ một báo cáo gửi tới Mozilla vào ngày 17/10. Giới nghiên cứu bảo mật nhanh chóng khôi phục được tám giá trị khóa riêng tư bị ảnh hưởng, và kết quả khiến nhiều người không khỏi sửng sốt: các khóa lần lượt là 4, 56, 66, 115, 155, 156, 230 và 237.

Không cần tới máy tính lượng tử để bẻ gãy những khóa này — chỉ cần một phép thử đơn giản là đủ. Điều đáng lo ngại hơn là tám khóa yếu này thuộc về tám CA trung gian, về lý thuyết có thể bị lợi dụng để tạo chứng chỉ giả mạo được các hệ thống chưa chặn eMudhra tin tưởng.

Lý giải đầy mâu thuẫn

eMudhra thừa nhận sự cố nhưng đưa ra cách giải thích đáng chú ý. Theo công ty, một lỗi trong nghi thức tạo khóa (key generation ceremony) đã khiến bước wrap/unwrap sinh ra thêm một bộ khóa yếu bên cạnh bộ khóa mạnh dự định ban đầu. Chính bộ khóa yếu này lại là bộ được công bố lên kho chứng chỉ gốc của các trình duyệt.

Điều khiến dư luận đặt câu hỏi là eMudhra khẳng định hạ tầng chứng chỉ của mình đã trải qua hai năm kiểm toán độc lập và nằm trong danh sách tin cậy của trình duyệt từ giữa năm 2025. Vậy tại sao những khóa yếu như vậy lại không bị phát hiện sớm hơn?

"Mức độ lan truyền trên mạng xã hội quanh sự cố này đã tạo ra sự giám sát vượt xa vị thế của mảng SSL/TLS trong hoạt động kinh doanh của chúng tôi."

Rút lui vì chi phí, không chỉ vì bê bối

Trong thông báo ngày 22/10, eMudhra cho biết mảng SSL/TLS toàn cầu chỉ đóng góp khoảng 1% doanh thu toàn cầu. Công ty viện dẫn việc các ông lớn cung cấp chứng chỉ miễn phí, cùng yêu cầu tuân thủ và chủ quyền dữ liệu ngày càng siết chặt, khiến mảng này trở nên khó biện minh về mặt kinh tế.

Ban lãnh đạo eMudhra kết luận rằng việc rút khỏi thị trường SSL/TLS toàn cầu là quyết định đúng đắn cho công ty và các cổ đông. Tuy nhiên, không khó để nhận ra đây cũng là cách né tránh sự giám sát đang ngày càng gay gắt.

Cam kết với khách hàng hiện hữu

Dù rút lui, eMudhra vẫn phải hoàn tất các nghĩa vụ còn lại. Công ty cho biết sẽ:

• Công bố báo cáo nguyên nhân gốc rễ của sự cố
• Tiếp tục duy trì chứng chỉ gốc G1 RSA cho tới khi chuyển khách hàng sang nhà cung cấp khác miễn phí
• Duy trì dịch vụ thu hồi và kiểm tra trạng thái chứng chỉ cho tới khi mọi chứng chỉ đã cấp hết hạn hoặc được thay thế

Theo eMudhra, các CA bị ảnh hưởng chưa từng cấp chứng chỉ cho người dùng cuối nào, và công ty đã thu hồi chúng trong vòng 14 giờ kể từ khi phát hiện vấn đề.

Bài học cho người dùng Việt Nam

Sự cố này là lời nhắc nhở về tầm quan trọng của chuỗi tin cậy chứng chỉ (certificate trust chain) mà hầu hết người dùng không bao giờ nhìn thấy. Với các doanh nghiệp Việt Nam vận hành website thương mại điện tử hay dịch vụ trực tuyến, việc định kỳ kiểm tra nhà cung cấp chứng chỉ và theo dõi các cảnh báo từ trình duyệt là bước phòng ngừa cần thiết.

Câu chuyện của eMudhra cũng cho thấy một thực tế: trong lĩnh vực bảo mật, một sai sót nhỏ trong khâu then chốt có thể phá hủy uy tín tích lũy nhiều năm. Và đôi khi, thứ bảo vệ hàng triệu kết nối chỉ là một con số — theo đúng nghĩa đen.