Tám khóa ký bị xâm phạm tại cơ quan cấp chứng chỉ eMudhra của Ấn Độ đã phơi bày khoảng cách giữa các biện pháp bảo vệ của trình duyệt và phần mềm vận hành phía sau các trang web cũng như công cụ giao dịch. Tính đến ngày 21 tháng 10, các nhà sản xuất trình duyệt lớn đã chặn những chứng chỉ bị ảnh hưởng, nhưng một số chương trình không chạy trên trình duyệt vẫn có thể chấp nhận thông tin xác thực giả mạo vì không kiểm tra xem chứng chỉ đã bị thu hồi hay chưa.
Điểm chính
- Các nhà nghiên cứu đã khôi phục tám khóa riêng tư yếu, có thể được dùng để ký chứng chỉ mạo danh các trang web đáng tin cậy.
- Các nhà sản xuất trình duyệt đã chặn những chứng chỉ bị ảnh hưởng, nhưng riêng việc thu hồi không bảo vệ được phần mềm không bao giờ kiểm tra trạng thái thu hồi.
- Chưa có vụ tấn công tiền mã hóa nào được báo cáo; mối lo ngại còn liên quan đến phần mềm lỗi thời trên phạm vi internet rộng hơn.
Mục lục
- Vụ lộ khóa eMudhra để lại những rủi ro ở đâu
- Những biện pháp bảo vệ nào đã đến được với người dùng?
- Khóa yếu làm suy giảm việc xác minh trang web như thế nào
- Vì sao phần mềm giao dịch cần được chú ý riêng
- Kết luận
Vụ lộ khóa eMudhra để lại những rủi ro ở đâu
Điểm khác biệt quan trọng nằm ở việc thu hồi chứng chỉ và việc bảo đảm phần mềm từ chối tin cậy chứng chỉ đó. eMudhra đã thu hồi các chứng chỉ bị ảnh hưởng, nhưng nhà nghiên cứu bảo mật Scott Helme cảnh báo rằng biện pháp này không bảo vệ được những chương trình không kiểm tra trạng thái thu hồi.
Helme cho biết các thử nghiệm của ông cho thấy curl, Python, Node, Go và Java chấp nhận một chứng chỉ giả mạo cho API của Stripe. Đây là minh họa về việc chứng chỉ được chấp nhận, chứ không phải bằng chứng cho thấy Stripe đã bị xâm nhập.
Chứng chỉ gian lận có thể cho phép một bên can thiệp vào mạng mạo danh dịch vụ đáng tin cậy để đọc hoặc thay đổi lưu lượng truy cập. Việc chặn trên trình duyệt xử lý con đường này đối với các trình duyệt được bảo vệ; nhưng điều đó không chứng minh rằng mọi ứng dụng riêng lẻ hoặc hệ thống backend đều đã nhận được mức bảo vệ tương đương.
| Hạng mục | Chi tiết |
|---|---|
| Mozilla và Chrome | Cả hai đã chặn các chứng chỉ bị ảnh hưởng vào ngày 17 tháng 10; Mozilla triển khai biện pháp chặn khoảng ba giờ sau khi nhận được báo cáo. |
| Apple | Tiếp nối bằng phản hồi vào ngày 19 tháng 10. |
| Microsoft | Tiếp nối vào ngày 20 tháng 10. |
| Thu hồi chứng chỉ | eMudhra đã thu hồi các chứng chỉ bị ảnh hưởng, nhưng biện pháp này chỉ phát huy tác dụng nếu phần mềm kiểm tra việc thu hồi. |
| Các bản sửa lỗi dành cho phần mềm không chạy trên trình duyệt | Đã có bản sửa lỗi cho Go, gói certifi của Python và webpki-roots của Rust. |
| Node.js | Tính đến ngày 21 tháng 10, bản sửa lỗi vẫn đang chờ phát hành. |
Những biện pháp bảo vệ nào đã đến được với người dùng?
Quá trình ứng phó bắt đầu sau khi một nhà nghiên cứu tên Wayne cảnh báo các nhà sản xuất trình duyệt vào ngày 17 tháng 10. Ông chứng minh mình kiểm soát cả tám khóa bị xâm phạm bằng cách dùng chúng để ký số thông điệp cảnh báo. Việc có sẵn bản sửa lỗi không đồng nghĩa với việc mọi bản cài đặt đều đã được cập nhật.
Khóa yếu làm suy giảm việc xác minh trang web như thế nào
Các cơ quan cấp chứng chỉ cung cấp thông tin xác thực mà trình duyệt sử dụng để xác minh danh tính trang web. Vì vậy, khóa ký riêng của họ có trách nhiệm khác với mật khẩu thông thường của một trang web: khóa ký bị xâm phạm có thể được dùng để tạo chứng chỉ trông như thật cho các trang web khác.
Helme cho biết ông đã khôi phục cả tám khóa từ các chứng chỉ công khai trong chưa đầy một giây. Trong số các giá trị khóa riêng tư mà ông xác định được có 4 và 56, cho thấy các khóa này hầu như không chống lại được việc khôi phục. Ông nói chúng đã bị lộ từ tháng 4 năm 2025.
Theo cách Helme đọc nội dung phiếu báo lỗi của Mozilla, eMudhra đổ lỗi cho một lỗi trong tập lệnh thiết lập khóa.
Vì sao phần mềm giao dịch cần được chú ý riêng
Đối với người dùng tiền mã hóa, rủi ro không chỉ giới hạn ở việc mở sàn giao dịch bằng trình duyệt. Bot giao dịch trên sàn, tập lệnh giao dịch và backend ví có thể phụ thuộc vào phần mềm không chạy trên trình duyệt bị ảnh hưởng. Về lý thuyết, chứng chỉ API sàn giao dịch giả mạo có thể cho phép kẻ tấn công cùng mạng chặn hoặc thay đổi lưu lượng của bot.
Chưa có vụ tấn công tiền mã hóa nào được báo cáo. Giám đốc công nghệ của Polygon Labs, Mudit Gupta, cho biết lỗ hổng này là vấn đề bảo mật phần mềm nói chung, không chỉ riêng tiền mã hóa, và phần mềm cũ hoặc chưa được vá là mối lo ngại đặc biệt. Ông nói người dùng cập nhật ví, công cụ giao dịch và thiết bị sẽ đối mặt với rủi ro thấp hơn.
Kết luận
Phản ứng của các trình duyệt đã chặn một con đường tức thời để mạo danh bằng chứng chỉ, nhưng chưa giải quyết được vấn đề phần mềm rộng hơn. Rủi ro còn lại phụ thuộc vào việc từng công cụ có từ chối thông tin xác thực bị xâm phạm hay không—chứ không chỉ phụ thuộc vào việc đơn vị phát hành đã thu hồi chúng hay chưa.
Đọc thêm tin tức
Tuyên bố miễn trừ trách nhiệm
Bài viết này của FinanceVelix cung cấp thông tin chung, không phải tư vấn tài chính, đầu tư, pháp lý hoặc thuế được cá nhân hóa. Giá thị trường, lãi suất và điều kiện kinh tế có thể thay đổi; các khoản đầu tư tiềm ẩn rủi ro thua lỗ. Thông tin phản ánh tài liệu có tại thời điểm xuất bản và có thể thay đổi. Hãy tự kiểm chứng thông tin quan trọng và tham khảo chuyên gia có trình độ khi cần. Việc nhắc đến một tài sản, công ty hoặc dịch vụ không đồng nghĩa với sự xác nhận hay khuyến nghị.
