Lỗ hổng chứng chỉ eMudhra khiến Google, Mozilla, Apple và Microsoft chặn các chứng chỉ bị ảnh hưởng trong khoảng thời gian từ ngày 17 đến ngày 20 tháng 10 năm 2026, sau khi các nhà nghiên cứu khôi phục được khóa ký riêng tư của tám chứng chỉ trung gian. Google cũng thông báo kế hoạch gỡ bỏ rộng hơn một chứng chỉ gốc của eMudhra, dự kiến triển khai trên các thiết bị sử dụng Chrome Root Store vào ngày 27 tháng 10.
Điểm chính
- Tám chứng chỉ trung gian có khóa riêng tư dễ dàng khôi phục: sáu chứng chỉ dùng cho bảo mật website và hai chứng chỉ dùng để ký mã.
- Trước khi Chrome chặn, không có chứng chỉ TLS nào nối chuỗi đến sáu chứng chỉ trung gian bị ảnh hưởng được ghi nhận công khai; mức độ phơi nhiễm bên ngoài cơ chế thực thi tính minh bạch chứng chỉ vẫn chưa rõ.
- Kế hoạch gỡ chứng chỉ gốc của Chrome cũng có thể làm gián đoạn các chứng chỉ hợp lệ, buộc đơn vị vận hành website bị ảnh hưởng phải thay thế chúng.
Mục lục
- Lỗ hổng chứng chỉ eMudhra đã làm suy giảm niềm tin như thế nào
- Các biện pháp chặn khẩn cấp đã và chưa xác lập điều gì
- Việc gỡ chứng chỉ gốc trên diện rộng tạo thời hạn thay thế
- Kết luận
Lỗ hổng chứng chỉ eMudhra đã làm suy giảm niềm tin như thế nào
Các khóa bị ảnh hưởng của tổ chức cấp chứng chỉ có trụ sở tại Ấn Độ được tạo vào ngày 30 tháng 4 năm 2025. Kỹ sư Mozilla Dennis Jackson cho biết cả tám khóa đều sử dụng các số nguyên nhỏ hơn 256, khiến chúng có thể được khôi phục gần như tức thì, thay vì có tính ngẫu nhiên như mong đợi ở các khóa mật mã an toàn.
Mozilla đã độc lập khôi phục các khóa vào ngày 17 tháng 10, xác nhận phát hiện của nhà nghiên cứu. Việc nắm giữ các khóa ký TLS bị ảnh hưởng có thể cho phép kẻ tấn công giả mạo chứng chỉ để mạo danh website với những ứng dụng vẫn tin cậy các tổ chức cấp chứng chỉ đó.
Trong báo cáo về nguyên nhân gốc rễ, eMudhra quy vấn đề cho một tập lệnh tạo khóa đã tạo ra một cặp khóa thứ hai yếu hơn, có nhãn tương tự. Cặp khóa đó đã bị sử dụng nhầm cho yêu cầu ký chứng chỉ, cùng với các sai sót của con người ở nhiều giai đoạn trong quy trình.
| Đơn vị | Chi tiết |
|---|---|
| Chrome | Chặn các khóa công khai bị ảnh hưởng vào ngày 17 tháng 10 năm 2026. |
| Firefox | Hoàn tất việc chặn bằng OneCRL lúc 22:59 UTC ngày 17 tháng 10. |
| eMudhra | Đánh dấu tám chứng chỉ bị ảnh hưởng là đã bị thu hồi vào ngày 18 tháng 10. |
| Apple | Triển khai biện pháp chặn vào ngày 19 tháng 10. |
| Microsoft | Triển khai biện pháp chặn vào ngày 20 tháng 10. |
Các biện pháp chặn khẩn cấp đã và chưa xác lập điều gì
Chrome chặn các khóa công khai bị ảnh hưởng thông qua cơ chế CRLSet, bảo vệ người dùng mà không cần cập nhật hoặc khởi động lại trình duyệt. Firefox triển khai biện pháp chặn bằng OneCRL trong cùng ngày, còn eMudhra sau đó thu hồi tám chứng chỉ.
Google cho biết trước khi hãng thực hiện chặn, không có chứng chỉ TLS nào nối chuỗi đến sáu chứng chỉ trung gian bị ảnh hưởng xuất hiện trong nhật ký Certificate Transparency. Vì vậy, hãng cho biết các chứng chỉ giả mạo từ những tổ chức cấp chứng chỉ đó không thể được sử dụng để tấn công các ứng dụng thực thi yêu cầu ghi nhật ký này, trong đó có Chrome.
Phát hiện đó không xác định được liệu các khóa có bị lạm dụng ở nơi khác hay không. Phần mềm không phải trình duyệt không nhất thiết thực thi tính minh bạch chứng chỉ hoặc nhận các bản cập nhật chặn tương đương, nên mức độ phơi nhiễm trước đó vẫn chưa được làm rõ.
Việc gỡ chứng chỉ gốc trên diện rộng tạo thời hạn thay thế
Thông báo của Google về biện pháp bảo vệ người dùng Chrome và Android cũng mô tả việc gỡ emSign ECC Root CA – G3 khỏi Chrome Root Store. Dự kiến việc triển khai rộng rãi diễn ra vào ngày 27 tháng 10 năm 2026, trước đó sẽ có trên các kênh phát hành thử nghiệm.
Biện pháp rộng hơn này quan trọng vì một số chứng chỉ hợp lệ nối chuỗi đến chứng chỉ gốc đó cũng sẽ ngừng hoạt động trong Chrome. Google cho biết các đơn vị vận hành website bị ảnh hưởng phải xin cấp và cài đặt chứng chỉ TLS thay thế từ một hệ thống phân cấp khác có trong kho chứng chỉ gốc của hãng, đồng thời eMudhra đã cam kết hỗ trợ các thuê bao chuyển đổi.
Google cũng cho biết hãng đang điều tra xem các tổ chức cấp chứng chỉ còn lại của eMudhra có nên tiếp tục được đưa vào Chrome Root Store hay không. Việc rà soát này vẫn đang diễn ra, chứ chưa phải là quyết định gỡ bỏ toàn bộ các tổ chức cấp chứng chỉ của eMudhra.
Kết luận
Các biện pháp chặn chứng chỉ tức thời đã xử lý những khóa yếu đã được xác định, nhưng công tác khắc phục rộng hơn vẫn đang được tiến hành. Mốc tiếp theo theo kế hoạch là đợt triển khai gỡ chứng chỉ gốc của Chrome vào ngày 27 tháng 10, có thể ảnh hưởng đến các website hợp lệ chưa thay thế chứng chỉ gắn với chứng chỉ gốc bị gỡ.
Đọc thêm tin tức
Tuyên bố miễn trừ trách nhiệm
Bài viết FinanceVelix này chỉ cung cấp thông tin chung, không phải lời khuyên tài chính, đầu tư, pháp lý hoặc thuế được cá nhân hóa. Giá thị trường, lãi suất và điều kiện kinh tế có thể thay đổi; đầu tư tiềm ẩn rủi ro thua lỗ. Thông tin phản ánh tài liệu có tại thời điểm xuất bản và có thể thay đổi. Hãy tự kiểm tra độc lập các thông tin quan trọng và tham khảo chuyên gia có trình độ khi cần. Việc đề cập đến một tài sản, công ty hoặc dịch vụ không đồng nghĩa với sự chứng thực.
