Khóa CA trung gian của eMudhra bị xâm phạm do lỗi trong quá trình tạo khóa

Vào ngày 17 tháng 10 năm 2026, một nhà nghiên cứu bảo mật đã tiết lộ rằng các khóa riêng tư cho tám chứng chỉ Cơ quan Chứng thực Trung gian (CA) do eMudhra phát hành đã bị xâm phạm. Sự cố này ảnh hưởng đến các chuỗi tin cậy bắt nguồn từ các chương trình do Mozilla, Microsoft, Apple và Chrome quản lý, tác động đến nhiều phần mềm và thiết bị hạ lưu.

Sự xâm phạm không xuất phát từ một cuộc tấn công máy chủ truyền thống hay lừa đảo phishing. Thay vào đó, nguyên nhân gốc rễ là một lỗi nghiêm trọng trong cách CA tạo ra các khóa mã hóa. Các khóa riêng tư về mặt toán học có thể được suy ra từ chính các chứng chỉ công khai, nghĩa là bất kỳ bên nào có quyền truy cập vào dữ liệu công khai đều có thể dẫn xuất các khóa bí mật cần thiết để ký các chứng chỉ gian lận. Lỗ hổng này đã tồn tại kể từ khi các chứng chỉ được tạo ra vào tháng 4 năm 2025.

Chuyện gì đã xảy ra

Vấn đề được đưa ra ánh sáng khi một phóng viên tên Wayne trình diễn sự xâm phạm này cho các Nhóm Chương trình Root. Để chứng minh việc sở hữu các khóa riêng tư, Wayne đã ký một thông điệp cụ thể bằng khóa riêng tư của từng CA trung gian trong số tám CA bị ảnh hưởng. Anh ấy cung cấp các chứng chỉ, khóa công khai và chữ ký trong một tệp có tên "Wayne proof.zip". Bằng chứng mật mã này cho phép các bên xác minh xác nhận rằng các khóa riêng tư thực sự có thể tiếp cận bởi các bên không được ủy quyền mà không cần khai thác hệ thống đang hoạt động.

Sau khi tiết lộ vào ngày 17 tháng 10, các nhà cung cấp trình duyệt lớn đã nhanh chóng hành động để bảo vệ người dùng. Firefox và Chrome đã chặn các chứng chỉ bị xâm phạm bắt đầu từ cùng ngày. Apple cũng làm tương tự, chặn các chứng chỉ trên thiết bị của mình trước ngày 19 tháng 10. CA eMudhra cũng đã thu hồi các chứng chỉ CA trung gian bị xâm phạm. Tuy nhiên, việc thu hồi đơn thuần là không đủ đối với tất cả các hệ thống. Nhiều khách hàng không phải trình duyệt không kiểm tra Danh sách Thu hồi Chứng chỉ (CRL) hoặc phản hồi Giao thức Trạng thái Chứng chỉ Trực tuyến (OCSP) theo thời gian thực. Những khách hàng này yêu cầu cập nhật phần mềm để loại bỏ hoàn toàn các root hoặc intermediate bị xâm phạm khỏi kho lưu trữ tin cậy cục bộ của họ.

Chi tiết chính

• Tám chứng chỉ CA trung gian của eMudhra có các khóa riêng tư bị xâm phạm.
• Lỗi phát sinh vào tháng 4 năm 2025 trong quá trình tạo khóa không chính xác bởi CA.
• Các khóa riêng tư có thể được khôi phục từ các chứng chỉ công khai, không bị đánh cắp qua hack.
• Mozilla, Apple và Chrome đã chặn các chứng chỉ từ ngày 17 đến 19 tháng 10 năm 2026.
• Các khách hàng ngoài hệ sinh thái trình duyệt vẫn có thể tin tưởng các intermediate này cho đến khi được cập nhật.
• Không có nhật ký Certificate Transparency nào tồn tại cho các intermediate này, hạn chế khả năng hiển thị lịch sử.

Bối cảnh

Để hiểu mức độ nghiêm trọng, cần biết cách hoạt động của niềm tin kỹ thuật số. Khi bạn truy cập một trang web an toàn, trình duyệt của bạn kiểm tra chứng chỉ TLS của trang web đó. Chứng chỉ này được ký bởi một CA trung gian, đến lượt nó lại được ký bởi một CA gốc. Thiết bị của bạn tin tưởng CA gốc, và mở rộng ra, tin tưởng CA trung gian và trang web. Nếu kẻ tấn công có khóa riêng tư của một CA trung gian, chúng có thể tạo ra các chứng chỉ hợp lệ cho bất kỳ tên miền nào, chẳng hạn như ngân hàng hoặc nhà cung cấp email của bạn. Điều này cho phép chúng chặn đứng lưu lượng truy cập được mã hóa mà không kích hoạt cảnh báo bảo mật.

Certificate Transparency (CT) là một hệ thống ghi nhật ký tất cả các chứng chỉ đã phát hành vào các sổ cái công khai. Các trình duyệt như Chrome và Safari yêu cầu nhật ký CT để chấp nhận chứng chỉ. Trong trường hợp này, không có mục nhập nhật ký CT nào cho các intermediate cụ thể này trong khoảng thời gian dễ bị tổn thương. Điều này có nghĩa là mặc dù các trình duyệt được bảo vệ khỏi việc nhìn thấy các chứng chỉ gian lận được phát hành sau đó, điểm yếu khóa cơ bản vẫn còn tồn tại. Các hệ thống không áp dụng CT, chẳng hạn như nhiều công cụ dòng lệnh, thiết bị nhúng và phần mềm doanh nghiệp cũ, vẫn gặp rủi ro nếu chúng chưa nhận được bản cập nhật để ngừng tin tưởng các intermediate cụ thể này.

Tại sao điều này quan trọng

Đối với các nhóm vận hành phần mềm tự host hoặc quản lý cơ sở hạ tầng nội bộ, sự cố này làm nổi bật một điểm mù trong giám sát bảo mật tiêu chuẩn. Hầu hết các tổ chức dựa vào các bản cập nhật hệ điều hành và trình duyệt để xử lý những thay đổi trong kho lưu trữ tin cậy. Tuy nhiên, các ứng dụng tùy chỉnh, microservices và thiết bị IoT thường duy trì các kho lưu trữ tin cậy riêng hoặc sử dụng các thư viện TLS nhẹ không tự động đồng bộ với danh sách thu hồi cấp hệ điều hành. Nếu các dịch vụ nội bộ của bạn giao tiếp với API bên ngoài hoặc nếu bạn host các dịch vụ cho khách hàng sử dụng đa dạng client, những kết nối đó vẫn có thể tin tưởng các intermediate eMudhra bị xâm phạm.

Việc các khóa có thể được khôi phục từ dữ liệu công khai đặc biệt đáng lo ngại. Nó cho thấy thất bại bảo mật mang tính quy trình và toán học, chứ không chỉ là vận hành. Điều này có nghĩa là các lỗi tương tự có thể tồn tại ở các CA khác hoặc trong các chứng chỉ trước đây. Đối với các trưởng nhóm IT, điều này củng cố nhu cầu xác minh không chỉ rằng chứng chỉ của bạn hợp lệ, mà còn rằng chuỗi tin cậy bản thân nó còn nguyên vẹn và không chứa các cơ quan đã bị xâm phạm được biết đến. Chỉ dựa vào các bản cập nhật trình duyệt tự động sẽ để lại khoảng trống trong cơ sở hạ tầng không hướng tới web.

Bạn có thể làm gì

• Cập nhật tất cả các trình duyệt và hệ điều hành lên phiên bản mới nhất ngay lập tức để đảm bảo các chứng chỉ đã thu hồi bị chặn.
• Kiểm thử các công cụ dòng lệnh như curl chống lại các host xác minh được liệt kê trong thông báo tiết lộ để kiểm tra các kho lưu trữ tin cậy cục bộ.
• Xem xét bất kỳ ứng dụng tùy chỉnh hoặc thiết bị nhúng nào sử dụng kho lưu trữ tin cậy tĩnh để tìm kiếm các chứng chỉ trung gian lỗi thời.
• Xác minh rằng các hệ thống giám sát của bạn cảnh báo về những thay đổi chứng chỉ, không chỉ ngày hết hạn.
• Kiểm tra xem tổ chức của bạn có sử dụng chứng chỉ eMudhra nội bộ hay không và thay thế chúng nếu chúng liên kết với các intermediate bị ảnh hưởng.
• Theo dõi các bản cập nhật chính thức từ Mozilla, Apple và Microsoft để có thêm hướng dẫn về các bản vá kho lưu trữ tin cậy hạ lưu.