Lỗ hổng khóa riêng tư của eMudhra: Trình duyệt đồng loạt chặn chứng chỉ trung gian

Lỗ hổng trong quy trình sinh khóa của tổ chức cấp chứng chỉ eMudhra đã khiến tám chứng chỉ trung gian bị mất an toàn, buộc các trình duyệt lớn phải đồng loạt chặn và thu hồi. Đây là sự cố đáng chú ý với bất kỳ doanh nghiệp nào vận hành website có dùng HTTPS.

Minh họa hạ tầng định tuyến và chứng chỉ số trên Internet

Khóa riêng tư yếu đến mức gần như toàn số 0

Tám chứng chỉ trung gian nói trên được eMudhra – một tổ chức cấp chứng chỉ (CA) của Ấn Độ – phát hành vào tháng 4/2025. Theo Google, các khóa riêng tư đi kèm được tạo ra với độ ngẫu nhiên không đủ mạnh (entropy mật mã yếu), khiến bất kỳ ai cũng có thể giả mạo chứng chỉ HTTPS hợp lệ và mạo danh mọi website đối với các máy khách chưa gỡ bỏ tin cậy với CA này.

Chuyên gia Dennis Jackson của Mozilla mô tả mức độ nghiêm trọng của lỗi: phần lớn khóa riêng tư thực chất chỉ là toàn số 0, ngoại trừ byte cuối cùng. Điều này cho phép khôi phục khóa gần như tức thời bằng thuật toán logarit rời rạc baby-step giant-step.

"Các khóa riêng tư có thể được khôi phục gần như ngay lập tức", Jackson cho biết thêm rằng một số cá nhân đã độc lập lấy lại được khóa vì quy trình này khá dễ và nhanh.

Ông cũng đã công bố một công cụ giúp người dùng kiểm tra xem thiết bị của mình còn tin cậy các chứng chỉ bị xâm phạm hay không.

Các hãng lớn phản ứng trong vài ngày

Phản ứng của cộng đồng bảo mật diễn ra nhanh chóng:

• 17/10: Mozilla và Google chặn chứng chỉ trên Firefox và Chrome.
• 19/10: Apple chặn trên hệ sinh thái của mình.
• 20/10: Microsoft chặn trên các sản phẩm liên quan.
• Sectigo thực hiện các bước thu hồi, còn Cloudflare vá dịch vụ của mình.

eMudhra đã thu hồi các chứng chỉ bị xâm phạm và thông báo đến các kho tin cậy hạ nguồn. Tuy nhiên, một số máy khách vẫn có thể cần cập nhật phần mềm để đảm bảo không còn tin cậy các chứng chỉ trung gian này.

eMudhra thừa nhận lỗi trong quy trình

Theo eMudhra, lỗi nằm ở script dùng trong nghi thức sinh khóa: nó tạo ra một cặp khóa thứ hai yếu hơn, và cặp khóa này bị dùng nhầm để tạo yêu cầu ký chứng chỉ do nhãn của nó gần giống với khóa gốc.

Tổ chức này cho biết các chứng chỉ nêu trên vốn được tạo để xuất sang trung tâm dữ liệu tại Mỹ và châu Âu nhằm giải quyết vấn đề chủ quyền dữ liệu cho một số khách hàng, nhưng "chưa từng đi vào vận hành thực tế, trừ một trường hợp".

"Đã có sai sót của con người ở nhiều bước trong quy trình, dẫn đến những khiếm khuyết nghiêm trọng về tính toàn vẹn trong vòng đời khóa của KGC này", eMudhra thừa nhận và cho biết sẽ kiểm tra lại toàn bộ các nghi thức sinh khóa đã thực hiện trong tuần tới.

Minh họa chủ đề an ninh mạng và chứng chỉ số

Chưa có dấu hiệu bị lợi dụng, nhưng rủi ro vẫn còn

Hiện chưa có bằng chứng trong nhật ký Certificate Transparency (CT) cho thấy các khóa bị lợi dụng trước khi bị thu hồi. Tuy vậy, không phải mọi máy khách đều bắt buộc kiểm tra CT, nên kẻ tấn công vẫn có thể đã dùng chúng để mạo danh trong một số trường hợp.

Sự cố này là lời nhắc nhở về tầm quan trọng của quy trình sinh khóa đúng chuẩn và các cơ chế kiểm soát chéo (maker/checker) tại các tổ chức cấp chứng chỉ. Với người dùng và quản trị viên hệ thống tại Việt Nam, việc cập nhật trình duyệt và hệ điều hành lên phiên bản mới nhất là cách đơn giản nhất để đảm bảo không còn tin cậy các chứng chỉ đã bị xâm phạm.