eMudhra dừng dịch vụ SSL/TLS toàn cầu sau sự cố khóa
"eMudhra will exit the global SSL/TLS certificate business after the private keys for eight intermediate CA certificates were found to be easily guessable. This led to Chrome and Firefox distrusting the affected root certificate (emSign ECC Root CA - G3), impacting approximately 30,800 certificates, primarily issued through InCommon. Affected customers will receive replacement certificates, and eMudhra will maintain revocation services during the transition."
Sự cố rò rỉ khóa riêng tư của CA có thể dẫn đến tấn công man-in-the-middle và giả mạo chứng chỉ. Mức độ nghiêm trọng cao do số lượng lớn chứng chỉ bị ảnh hưởng.
Các doanh nghiệp sử dụng chứng chỉ eMudhra sẽ phải tốn chi phí và công sức để thay thế chúng. Sự cố này cũng có thể ảnh hưởng đến uy tín của eMudhra và tăng chi phí tuân thủ.
eMudhra, một tổ chức cấp chứng chỉ (CA) của Ấn Độ, sẽ rút khỏi thị trường chứng chỉ SSL/TLS toàn cầu sau khi phát hiện 8 khóa trung gian CA có thể đoán được. Chrome và Firefox sẽ ngừng tin cậy chứng chỉ gốc bị ảnh hưởng (emSign ECC Root CA - G3), tác động đến khoảng 30.800 chứng chỉ, chủ yếu được cấp thông qua InCommon.
Khách hàng bị ảnh hưởng sẽ nhận chứng chỉ thay thế miễn phí từ các đối tác, dù eMudhra chưa công bố danh sách đối tác hoặc thời điểm ngừng dịch vụ. Google yêu cầu các trang web sử dụng chứng chỉ này thay thế ngay lập tức bằng chứng chỉ từ các PKI hierarchy khác được Chrome tin cậy.
Khoảng 99,9% số chứng chỉ bị ảnh hưởng được cấp thông qua InCommon, tổ chức này đã chuyển dịch vụ sang nền tảng CertiNext của eMudhra từ tháng 4 đến tháng 7 năm nay. eMudhra vẫn sẽ duy trì dịch vụ thu hồi và trạng thái cho đến khi tất cả chứng chỉ SSL/TLS đã hết hạn hoặc được thay thế. Các mảng kinh doanh khác như chứng chỉ chữ ký số, eSign và nền tảng CertiNext vẫn hoạt động.
Sự cố này chỉ chiếm khoảng 1% doanh thu của eMudhra. Công ty cho rằng các quy định về chủ quyền dữ liệu và tuân thủ khiến việc vận hành dịch vụ này phức tạp và tốn kém hơn, đặc biệt khi nhiều nhà cung cấp lớn cung cấp chứng chỉ miễn phí. Các khóa riêng tư lẽ ra phải là số ngẫu nhiên lớn, nhưng tất cả tám khóa đều nhỏ hơn 256 bit, cho phép tính toán gần như tức thời.
Câu hỏi thường gặp
Có bao nhiêu chứng chỉ bị ảnh hưởng bởi sự cố này?
Khoảng 30.800 chứng chỉ chưa hết hạn bị ảnh hưởng, phần lớn được cấp thông qua InCommon. Chrome đã xác định số lượng này dựa trên nhật ký Certificate Transparency (CT).
Chrome và Firefox đã phản ứng như thế nào?
Chrome sẽ ngừng tin cậy chứng chỉ gốc emSign ECC Root CA - G3 vào ngày 27 tháng 10. Mozilla cũng đã quyết định ngừng tin cậy chứng chỉ gốc này trong Firefox.
eMudhra sẽ làm gì với các chứng chỉ bị ảnh hưởng?
eMudhra sẽ thay thế chứng chỉ bị ảnh hưởng bằng chứng chỉ miễn phí từ các đối tác. Họ cũng sẽ tiếp tục duy trì dịch vụ thu hồi và trạng thái cho đến khi tất cả chứng chỉ đã hết hạn hoặc được thay thế.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc eMudhra rút khỏi thị trường SSL/TLS toàn cầu có thể ảnh hưởng đến các doanh nghiệp Việt Nam đang sử dụng chứng chỉ do họ cấp, đặc biệt là các tổ chức giáo dục sử dụng InCommon. Các doanh nghiệp nên kiểm tra ngay lập tức xem chứng chỉ của họ có bị ảnh hưởng hay không và lên kế hoạch chuyển đổi sang nhà cung cấp khác. Điều đáng chú ý là việc chuyển đổi có thể cần thay đổi cấu hình máy chủ và cài đặt ứng dụng.