Lỗ hổng nghiêm trọng: CA Ấn Độ eMudhra để lộ khóa riêng tư chỉ là 'số 4'

Một tổ chức cấp chứng chỉ số (Certificate Authority - CA) tại Ấn Độ đã bị phát hiện sử dụng những khóa riêng tư yếu đến mức khó tin, trong đó có khóa chỉ đơn giản là con số 4. Sự cố này khiến hơn 60 triệu chứng chỉ số do họ cấp ra không còn đáng tin cậy, và các trình duyệt lớn như Mozilla Firefox, Google Chrome và Apple Safari đang phải gấp rút triển khai bản vá để loại bỏ niềm tin vào các chứng chỉ này.

Chuyện gì đã xảy ra?

Theo thông tin từ thành viên nhóm kỹ thuật mã hóa của Mozilla, Dennis Jackson, vào ngày 17/10, Mozilla đã nhận được báo cáo về việc khóa riêng tư gắn với 8 chứng chỉ trung gian (intermediate certificate) của eMudhra bị xâm phạm.

"Những khóa này có thể cho phép kẻ tấn công cấp chứng chỉ HTTPS giả cho các website mà chúng không kiểm soát," Jackson viết.

Cloudflare cũng đưa ra cảnh báo tương tự, nhấn mạnh rằng kẻ tấn công có thể tạo chứng chỉ giả cho bất kỳ tên miền nào, từ đó giả danh máy chủ để chặn bắt hoặc sửa đổi dữ liệu của người dùng.

Điểm yếu chí mạng: khóa riêng tư chỉ là... số 4

Điều khiến vụ việc trở nên tai tiếng chính là chất lượng khóa riêng tư mà eMudhra sử dụng. Nhà nghiên cứu bảo mật Scott Helme đã phân tích các chứng chỉ và phát hiện ra rằng một trong các khóa riêng tư chỉ là số 4.

"Không phải một số bắt đầu bằng 4, cũng không phải số 4 kèm theo vài trăm chữ số ngẫu nhiên — chỉ đơn giản là 4... Một khóa khác là 56, và một khóa khác là 115. Tôi biết vậy vì tôi vừa khôi phục được tất cả chúng từ các chứng chỉ công khai trên laptop của mình, và chỉ mất chưa đến một giây," Helme cho biết.

Các nhà nghiên cứu khác cũng tìm ra những khóa riêng tư bao gồm các con số 66, 155, 156, 230 và 237.

Đây là một sai sót nghiêm trọng về mặt kỹ thuật. Một khóa riêng tư P-384 đúng chuẩn phải là một số ngẫu nhiên 384 bit, tương đương khoảng 10^115 khả năng — một con số lớn đến mức gần như không thể dò tìm. Việc sử dụng những con số nhỏ như vậy khiến mọi chứng chỉ do eMudhra cấp dễ dàng bị tấn công vét cạn (brute force).

Hậu quả và công tác khắc phục

Ngay sau khi sự cố được phát hiện, các bên liên quan đã nhanh chóng vào cuộc:

• Mozilla, Chrome và Apple đã phát hành bản vá để trình duyệt không còn tin cậy các chứng chỉ của eMudhra (người dùng cần cài đặt bản cập nhật).
• eMudhra đã thu hồi các chứng chỉ bị ảnh hưởng.
• Nhiều dự án mã nguồn mở (FOSS) cũng đã phát hành cập nhật để không nhận diện chứng chỉ từ eMudhra.

Tuy vậy, vấn đề vẫn chưa kết thúc. Những chứng chỉ được ký bằng các khóa riêng tư này vẫn tồn tại ngoài kia, và nhiều dịch vụ vẫn đang phụ thuộc vào chúng. Trình duyệt có cơ chế phát hiện và từ chối chứng chỉ xấu, nhưng các hệ thống khác thì không — đồng nghĩa với việc các tổ chức, doanh nghiệp cần rà soát lại môi trường của mình để xem có đang dùng chứng chỉ do eMudhra ký hay không. Nhà phát triển Geoffrey Huntley đã chia sẻ một số hướng dẫn để tự động hóa quá trình kiểm tra này.

Tính đến thời điểm hiện tại, eMudhra vẫn chưa phản hồi các câu hỏi của báo chí về sự cố cũng như về quy trình bảo mật của mình.

Bài học cho người dùng và doanh nghiệp tại Việt Nam

Sự cố của eMudhra là lời cảnh tỉnh về tầm quan trọng của hạ tầng tin cậy số. Đối với các doanh nghiệp và đơn vị vận hành website tại Việt Nam, đây là dịp để rà soát lại:

• Nhà cung cấp chứng chỉ SSL/TLS đang sử dụng có uy tín và tuân thủ tiêu chuẩn quốc tế hay không.
• Quy trình quản lý khóa riêng tư có đảm bảo tính ngẫu nhiên, bảo mật và tách biệt cần thiết.
• Việc theo dõi thông báo từ các tổ chức như CA/Browser Forum để kịp thời cập nhật khi có sự cố.

Chứng chỉ số là nền tảng của giao dịch trực tuyến an toàn. Một khóa riêng tư yếu như "số 4" không chỉ là sai sót kỹ thuật của một công ty — nó đặt toàn bộ hệ sinh thái web vào nguy cơ bị giả mạo trên quy mô lớn. Đây là câu chuyện đang tiếp tục phát triển và sẽ còn nhiều thông tin được cập nhật.