eMudhra bị lộ khóa riêng tư, một khóa là số '4'
"eMudhra, an Indian certification authority, experienced a compromise of private keys used for issuing digital certificates. The compromised keys, including trivially weak values like '4', allowed for the potential issuance of fraudulent HTTPS certificates. Mozilla, Chrome, and Apple have released updates to mitigate the risk, but existing certificates remain vulnerable and require manual review."
Sự cố lộ khóa riêng tư của eMudhra cho phép tạo chứng chỉ HTTPS giả mạo, gây nguy cơ tấn công man-in-the-middle và đánh cắp dữ liệu.
Các doanh nghiệp sử dụng chứng chỉ từ eMudhra có thể bị mất niềm tin của khách hàng và thiệt hại về uy tín do nguy cơ tấn công. Việc kiểm tra và thay thế chứng chỉ tốn chi phí và thời gian.
eMudhra, một tổ chức cấp chứng chỉ (CA) của Ấn Độ, vừa bị lộ khóa riêng tư dùng để cấp chứng chỉ số. Một số khóa bị lộ thậm chí đơn giản đến mức chỉ là số '4'. Sự việc này cho phép kẻ tấn công có thể tạo chứng chỉ HTTPS giả mạo cho bất kỳ trang web nào.
Mozilla, Chrome và Apple đã phát hành bản cập nhật để giảm thiểu rủi ro, nhưng các chứng chỉ hiện có vẫn dễ bị tấn công và cần được kiểm tra thủ công. Đây là vấn đề quan trọng với các doanh nghiệp Việt Nam sử dụng chứng chỉ từ eMudhra, đặc biệt là các trang web thương mại điện tử và dịch vụ ngân hàng trực tuyến.
Theo báo cáo của Dennis Jackson từ Mozilla, sự cố bắt đầu vào ngày 17 tháng 10. Cloudflare mô tả tình hình là kẻ tấn công có thể tạo chứng chỉ giả mạo để chặn hoặc sửa đổi lưu lượng truy cập.
Nghiên cứu của Scott Helme cho thấy một trong các khóa riêng tư của eMudhra là số '4', một khóa khác là '56', và một khóa khác nữa là '115'. Các khóa này quá yếu và dễ bị tấn công brute force. Một khóa P-384 tiêu chuẩn nên là một số ngẫu nhiên 384-bit, với khoảng 10¹¹⁵ khả năng, khiến việc dò tìm trở nên bất khả thi.
Hiện tại, eMudhra chưa phản hồi yêu cầu bình luận từ The Register. Các nhà nghiên cứu bảo mật đang tiếp tục phân tích mức độ nghiêm trọng của sự cố này.
Câu hỏi thường gặp
eMudhra là gì?
eMudhra là một tổ chức cấp chứng chỉ (CA) có trụ sở tại Ấn Độ, chuyên phát hành chứng chỉ số để xác thực danh tính và mã hóa dữ liệu.
Khóa riêng tư bị lộ có nghĩa là gì?
Khóa riêng tư bị lộ cho phép kẻ tấn công tạo chứng chỉ giả mạo, có thể được sử dụng để đánh cắp thông tin hoặc giả mạo trang web.
Các trình duyệt đã làm gì để khắc phục sự cố?
Mozilla, Chrome và Apple đã phát hành bản cập nhật để ngăn trình duyệt tin tưởng các chứng chỉ do eMudhra cấp.
Góc nhìn của Orange Cloud
Theo chúng tôi, sự cố này cho thấy tầm quan trọng của việc sử dụng khóa riêng tư mạnh và quy trình quản lý khóa an toàn. Các doanh nghiệp Việt Nam nên kiểm tra ngay lập tức các chứng chỉ do eMudhra cấp và cân nhắc chuyển sang các CA uy tín hơn. Điều đáng chú ý là việc phát hiện sớm và phản ứng nhanh chóng từ các trình duyệt lớn đã giảm thiểu được tác động của sự cố, nhưng việc kiểm tra thủ công vẫn là cần thiết.