Apple chặn chứng chỉ eMudhra bị xâm phạm và hướng dẫn quản trị viên khắc phục qua CLI

Apple đã khởi động phản ứng bảo mật nhằm chặn các chứng chỉ do các Cơ quan Chứng nhận Trung gian (Intermediate Certification Authorities) của eMudhra bị xâm phạm cấp phát. Bắt đầu từ ngày 19 tháng 10 năm 2026, công ty bắt đầu tự động chặn các thông tin xác thực này trên thiết bị của mình, đồng thời cung cấp các bước khắc phục thủ công cụ thể cho những quản trị viên hệ thống phụ thuộc vào giao diện dòng lệnh.

Chuyện gì đã xảy ra

Sự cố bảo mật này xuất phát từ việc các khóa riêng tư thuộc về tám Cơ quan Chứng nhận Trung gian do eMudhra vận hành bị xâm phạm. Trong khi hai trong số các cơ quan này cấp phát chứng chỉ ký mã (code signing certificates) mà các framework của Apple không tin cậy, thì sáu cơ quan còn lại cấp phát chứng chỉ Lớp Truyền tải Bảo mật (Transport Layer Security - TLS). Sự khác biệt này rất quan trọng vì một kẻ tấn công sở hữu các khóa bị xâm phạm có thể tạo ra các chứng chỉ TLS trông hợp lệ cho bất kỳ trang web nào, từ đó tiềm ẩn nguy cơ tấn công trung gian (man-in-the-middle) hoặc giả mạo các dịch vụ chính thống.

Để đáp trả, cả eMudhra và Sectigo đều đã thu hồi các chứng chỉ bị ảnh hưởng. Phạm vi của vấn đề liên quan đến 12 chứng chỉ cụ thể gắn liền với sáu CA trung gian cấp phát TLS. Mỗi cơ quan trong số sáu cơ quan này nắm giữ hai chứng chỉ: một được cấp bởi emSign Root TLS CA - G3, chuỗi tới emSign ECC Root CA - G3, và một chứng chỉ khác được ký chéo bởi Sectigo, chuỗi tới AAA Certificate Services. Apple đã xác định 12 chứng chỉ này là các vector chính cho khả năng lạm dụng và đã tiến hành vô hiệu hóa chúng trên toàn bộ hệ sinh thái của mình.

Chi tiết quan trọng

• Apple bắt đầu chặn 12 chứng chỉ bị xâm phạm trên tất cả các thiết bị Apple vào ngày 19 tháng 10 năm 2026.
• Việc chặn này áp dụng tự động cho Safari, Mail và các ứng dụng sử dụng các framework mạng và bảo mật gốc của Apple.
• Vào ngày 23 tháng 10 năm 2026, Apple mở rộng việc chặn để bao gồm cả chứng chỉ gốc emSign ECC Root CA - G3.
• Các công cụ dòng lệnh như curl, git, python3, ruby, perl và openssl vẫn có thể chấp nhận các chứng chỉ này nếu chúng dựa vào tệp /etc/ssl/cert.pem cục bộ.
• Apple sẽ cung cấp một bản cập nhật phần mềm trong tương lai để sửa lỗi lỗ hổng của công cụ dòng lệnh, nhưng người dùng phổ thông không cần cập nhật hệ điều hành ngay lập tức.
• Quản trị viên có thể xóa thủ công các chứng chỉ gốc bị xâm phạm khỏi /etc/ssl/cert.pem để bảo vệ quy trình làm việc CLI trước khi bản vá chính thức ra mắt.

Bối cảnh

Để hiểu rõ tác động, cần phân biệt cách các ứng dụng khác nhau xác minh danh tính trên macOS. Hầu hết các ứng dụng dành cho người tiêu dùng, bao gồm các trình duyệt web như Safari, đều sử dụng các framework bảo mật tập trung của Apple. Các framework này nhận được danh sách chặn cập nhật qua đường truyền không dây (over the air), cho phép Apple thu hồi sự tin cậy đối với các chứng chỉ bị xâm phạm ngay lập tức mà không cần một bản cập nhật hệ điều hành đầy đủ. Cơ chế này bảo vệ phần lớn người dùng một cách tự động.

Tuy nhiên, nhiều công cụ phát triển và quản trị hệ thống hoạt động theo cách khác. Các tiện ích như curl và git thường bỏ qua kho lưu trữ tin cậy trung tâm của Apple và thay vào đó kiểm tra dựa trên một tệp cục bộ có tên là /etc/ssl/cert.pem. Tệp này chứa một gói các chứng chỉ gốc đáng tin cậy được lưu trực tiếp trên ổ đĩa. Vì các công cụ này không truy vấn danh sách chặn trực tiếp của Apple, chúng vẫn dễ bị tổn thương trước các chứng chỉ eMudhra bị xâm phạm cho đến khi tệp cục bộ được chỉnh sửa thủ công bởi quản trị viên hoặc được thay thế bởi một bản cập nhật phần mềm trong tương lai từ Apple.

Tại sao điều này quan trọng

Đối với các nhóm tự quản lý hạ tầng hoặc phát triển phần mềm trên macOS, khoảng trống trong bảo vệ tự động này đặt ra một rủi ro hiện hữu. Nếu các script triển khai, pipeline CI/CD hoặc agent giám sát của bạn sử dụng các công cụ dòng lệnh để kết nối với các dịch vụ bên ngoài, chúng có thể vô tình tin tưởng một máy chủ độc hại đang trình bày một chứng chỉ giả mạo. Điều này có thể dẫn đến rò rỉ dữ liệu hoặc chèn mã độc trong quá trình cập nhật tự động, vì các công cụ sẽ coi kết nối đó là an toàn.

Hơn nữa, quy trình khắc phục thủ công đòi hỏi sự cẩn thận trong thực thi. Chỉnh sửa kho lưu trữ chứng chỉ cấp hệ thống là một thao tác nhạy cảm. Việc xóa sai một chứng chỉ gốc có thể làm gián đoạn kết nối tới các dịch vụ chính thống vốn cũng chuỗi tới cùng các gốc đó. Quản trị viên phải cân bằng giữa tính cấp bách của việc bịt kín lỗ hổng bảo mật với nhu cầu duy trì sự ổn định vận hành. Thực tế rằng Apple dự kiến sẽ sửa lỗi này trong một bản cập nhật tương lai có nghĩa là mọi thay đổi thủ công được thực hiện bây giờ có thể cần được hoàn nguyên hoặc quản lý cẩn thận để tránh xung đột khi bản vá chính thức ra mắt.

Bạn có thể làm gì

• Xác minh xem quy trình làm việc của bạn có sử dụng các công cụ dựa trên Terminal như curl, git hoặc python3 phụ thuộc vào /etc/ssl/cert.pem để xác thực chứng chỉ hay không.
• Sao lưu tệp chứng chỉ hiện tại bằng cách chạy [ -e /etc/ssl/cert.pem.orig ] || sudo cp -p /etc/ssl/cert.pem /etc/ssl/cert.pem.orig trong Terminal.
• Xóa chứng chỉ emSign ECC Root CA - G3 khỏi kho lưu trữ tin cậy cục bộ bằng lệnh awk cụ thể do Apple cung cấp để đảm bảo tệp vẫn hợp lệ.
• Tùy chọn: Xóa gốc AAA Certificate Services nếu bạn cần chặn ngay lập tức các chứng chỉ được ký chéo bởi Sectigo, với lưu ý rằng điều này có thể ảnh hưởng đến các dịch vụ khác.
• Xác thực các thay đổi của bạn bằng cách chạy lệnh xác minh openssl để xác nhận rằng các gốc bị xâm phạm không còn tồn tại trong tệp.
• Theo dõi bản cập nhật phần mềm macOS sắp tới sẽ chính thức vá /etc/ssl/cert.pem, và khôi phục bản sao lưu gốc nếu bản cập nhật thay thế các chỉnh sửa thủ công của bạn.