Các trang web của chính phủ Ấn Độ vẫn phục vụ chứng chỉ eMudhra đã bị thu hồi sau sự cố thu hồi hàng loạt

Một sự cố nghiêm trọng liên quan đến cơ quan cấp chứng chỉ (CA) eMudhra đã khiến hàng trăm trang web của chính phủ Ấn Độ phục vụ các chứng chỉ số đã bị thu hồi. Vấn đề này xuất hiện vào giữa tháng 10 năm 2026 khi các khóa riêng tư của một số CA trung gian bị xâm phạm, dẫn đến việc các trình duyệt lớn như Chrome và Mozilla ngừng tin tưởng emSign ECC Root CA - G3.

Chuyện gì đã xảy ra

Vào ngày 17 tháng 10 năm 2026, các nhà nghiên cứu bảo mật phát hiện ra rằng tám CA trung gian của eMudhra chuỗi tới emSign ECC Root CA - G3 có các khóa riêng tư dễ dàng khôi phục được. Các khóa này đã bị thu hồi vào ngày hôm sau. Để phản hồi, Mozilla và Chrome đã chuyển sang ngừng tin cậy toàn bộ root G3. Tách biệt với sự kiện trên, vào ngày 19 tháng 10, eMudhra đã thu hồi 9.356 chứng chỉ trên hệ thống phân cấp RSA không bị ảnh hưởng của mình, được biết đến với tên gọi emSign Root CA - G1. Lý do được nêu cho việc thu hồi hàng loạt này là "Superseded" (Bị thay thế), ảnh hưởng đến mọi chứng chỉ chưa hết hạn thiếu OID chính sách loại chứng chỉ cụ thể theo yêu cầu trong tuyên bố thực hành chứng nhận của chính eMudhra.

Bộ Điện tử và Công nghệ Thông tin (MeitY) đã cố gắng giảm nhẹ mức độ nghiêm trọng của sự cố vào ngày 21 tháng 10. Một bài đăng trên mạng xã hội từ bộ này khẳng định tác động đối với các trang web Ấn Độ là rất hạn chế và ngắn ngủi. Đánh giá này mâu thuẫn với bằng chứng kỹ thuật cho thấy các khóa lỗi thời đã tồn tại từ tháng 4 năm 2025, cho phép khả năng khôi phục trong mười tám tháng. Hơn nữa, sự kiện thu hồi đã gây ra gián đoạn rộng rãi, với ước tính của eMudhra rằng 30.000 chứng chỉ từ các CA trung gian không bị ảnh hưởng cần phải di chuyển, nhiều chứng chỉ thuộc về các trường đại học Mỹ chứ không phải các thực thể Ấn Độ.

Bất chấp sự trấn an chính thức, các trang web của chính phủ Ấn Độ vẫn đang phục vụ các chứng chỉ đã bị thu hồi vài ngày sau sự kiện. Bốn cơ quan trực thuộc MeitY, bao gồm Cơ quan Kiểm soát Chứng nhận (Controller of Certifying Authorities) - đơn vị quản lý eMudhra, nằm trong số những bên bị ảnh hưởng. Một cuộc quét cập nhật vào ngày 24 tháng 10 đã xác định 1.377 tên miền của chính phủ Ấn Độ sử dụng các chứng chỉ đã bị thu hồi, trong đó 811 vẫn đang tích cực phục vụ chúng. Các dịch vụ đáng chú ý bị ảnh hưởng bao gồm xử lý thị thực, cổng thông tin nhập cư, nền tảng dịch vụ công dân như ICEGATE và tài nguyên giáo dục.

Chi tiết chính

• Tám CA trung gian của eMudhra có các khóa riêng tư có thể khôi phục được tạo vào tháng 4 năm 2025, dẫn đến việc chúng bị thu hồi vào ngày 18 tháng 10 năm 2026.
• Vào ngày 19 tháng 10 năm 2026, eMudhra đã thu hồi 9.356 chứng chỉ trên hệ thống phân cấp RSA vì thiếu OID chính sách, ảnh hưởng đến 2.976 tên miền của chính phủ.
• Tính đến ngày 24 tháng 10 năm 2026, 811 tên miền của chính phủ Ấn Độ vẫn đang phục vụ các chứng chỉ đã bị thu hồi, bao gồm các dịch vụ thiết yếu như indianvisaonline.gov.in.
• Hành vi của trình duyệt khác nhau đáng kể: Firefox chặn các trang web này qua CRLite, trong khi Chrome, Edge và Safari thường cho phép truy cập do danh sách thu hồi không đầy đủ.
• SSL Labs gán xếp hạng F cho các trang web này, đánh dấu chúng là đã bị thu hồi, nhưng chúng vẫn có thể truy cập được bởi nhiều người dùng tùy thuộc vào phần mềm khách của họ.
• Cơ quan Kiểm soát Chứng nhận, đơn vị quản lý eMudhra tại Ấn Độ, tự nó cũng đang phục vụ một chứng chỉ eMudhra đã bị thu hồi trên trang PKI của mình.

Bối cảnh

Chứng chỉ Transport Layer Security (TLS) xác minh danh tính của các trang web và mã hóa dữ liệu trong quá trình truyền tải. Các Cơ quan Cấp chứng chỉ (CA) như eMudhra phát hành những chứng chỉ này. Khi một CA phát hiện ra vi phạm bảo mật hoặc lỗi cấu hình, nó phải thu hồi các chứng chỉ bị ảnh hưởng. Việc thu hồi thông báo cho trình duyệt rằng một chứng chỉ trước đây được tin cậy giờ không còn hợp lệ. Trình duyệt kiểm tra trạng thái thu hồi bằng các cơ chế như Danh sách Thu hồi Chứng chỉ (CRLs), Giao thức Trạng thái Chứng chỉ Trực tuyến (OCSP) hoặc các tập hợp nén như CRLite và CRLSet.

Trong trường hợp này, sự không nhất quán nảy sinh vì các trình duyệt khác nhau sử dụng các phương pháp khác nhau để kiểm tra thu hồi. Firefox sử dụng CRLite, bao phủ tất cả các lần thu hồi và chặn truy cập ngay lập tức. Chrome sử dụng CRLSet, chưa bao gồm các chứng chỉ cụ thể này tính đến cuối tháng 10, cho phép kết nối tiếp tục. Sự phân mảnh này có nghĩa là một số người dùng thấy lỗi trong khi những người khác thì không, tạo ra cảm giác an toàn giả tạo cho những người mà trình duyệt của họ không thực thi việc thu hồi.

Tại sao điều này quan trọng

Đối với các nhóm vận hành phần mềm tự lưu trữ hoặc quản lý cơ sở hạ tầng nội bộ, sự cố này nhấn mạnh sự mong manh của việc chỉ dựa vào các cơ quan cấp chứng chỉ bên ngoài mà không có giám sát độc lập. Nếu một CA lớn không thông báo cho các thuê bao hoặc nếu việc thực thi của trình duyệt không nhất quán, dịch vụ của bạn có thể hoạt động bình thường đối với một số người dùng nhưng bị gắn cờ là không an toàn bởi những người khác. Điều này có thể dẫn đến rủi ro lộ dữ liệu, mất lòng tin của người dùng và vi phạm tuân thủ, đặc biệt là đối với các tổ chức xử lý dữ liệu nhạy cảm của công dân hoặc khách hàng.

Sự chậm trễ trong việc thay thế các chứng chỉ đã bị thu hồi cũng cho thấy những lỗ hổng trong vận hành. Ngay cả khi các lệnh thu hồi được ban hành, việc di chuyển hàng nghìn chứng chỉ đòi hỏi thời gian và sự phối hợp. Nếu không có cảnh báo tự động và khả năng hiển thị vào trạng thái chứng chỉ, các nhóm IT có thể không biết rằng dịch vụ của họ bị suy giảm cho đến khi người dùng báo cáo sự cố. Đối với các thực thể chính phủ và doanh nghiệp, độ trễ này có thể làm gián đoạn các dịch vụ thiết yếu như đơn xin thị thực hoặc khai thuế, gây ra thiệt hại thực tế.

Hơn nữa, sự mỉa mai về mặt quy định khi chính cơ quan kiểm soát phục vụ một chứng chỉ đã bị thu hồi nhấn mạnh nhu cầu về các cuộc kiểm toán nội bộ nghiêm ngặt. Tuân thủ không chỉ là việc lấy được chứng chỉ mà còn là duy trì hiệu lực của nó trong suốt vòng đời. Các nhóm phải giả định rằng các thông báo bên ngoài có thể bị chậm trễ hoặc không đầy đủ, khiến việc giám sát chủ động trở nên thiết yếu để duy trì thời gian hoạt động và tư thế bảo mật.

Bạn có thể làm gì

• Triển khai giám sát chứng chỉ TLS tự động kiểm tra trạng thái thu hồi độc lập với hành vi của trình duyệt, sử dụng các công cụ truy vấn trực tiếp CRL và responder OCSP.
• Thiết lập cảnh báo cho sự kiện hết hạn và thu hồi chứng chỉ để đảm bảo nhóm của bạn được thông báo trước khi người dùng gặp lỗi kết nối.
• Thường xuyên kiểm toán kho chứng chỉ của bạn để xác định bất kỳ chứng chỉ nào được phát hành bởi các CA đang trải qua sự cố bảo mật hoặc sự kiện ngừng tin cậy root.
• Kiểm tra dịch vụ của bạn trên nhiều trình duyệt và thiết bị để hiểu cách các cơ chế kiểm tra thu hồi khác nhau ảnh hưởng đến quyền truy cập của người dùng.
• Duy trì kế hoạch dự phòng để thay thế chứng chỉ nhanh chóng, bao gồm tự động hóa được cấu hình sẵn để triển khai các chứng chỉ mới từ các CA thay thế nếu cần.
• Xem xét lại các tuyên bố thực hành chứng nhận của bạn và đảm bảo rằng chứng chỉ của bạn bao gồm tất cả các OID chính sách bắt buộc để tránh các đợt thu hồi hàng loạt do lỗi tuân thủ.