eMudhra dừng dịch vụ TLS sau sự cố khóa riêng tư yếu
"eMudhra, a certificate authority, is exiting the TLS business after issuing eight intermediate TLS certificates with critically weak private keys (ranging from 4 to 237 bits). These flawed keys allowed for the generation of trusted certificates for any website or mail server. The issue stemmed from a flaw in their Key Generation Ceremony (KGC) involving a wrap/unwrap process and human errors, leading to the publication of weak keys. Browsers have blocked the affected certificates."
Sự cố này cho thấy rủi ro nghiêm trọng đối với bảo mật TLS do khóa riêng tư yếu. Kẻ tấn công có thể giả mạo chứng chỉ và thực hiện các cuộc tấn công trung gian (man-in-the-middle).
Việc eMudhra dừng dịch vụ TLS có thể ảnh hưởng đến các doanh nghiệp đang sử dụng chứng chỉ của họ. Các doanh nghiệp cần tìm nhà cung cấp mới và thay thế chứng chỉ hiện có. Chi phí thay thế và gián đoạn dịch vụ có thể đáng kể.
eMudhra, một tổ chức cấp chứng chỉ, vừa thông báo dừng dịch vụ TLS sau khi phát hành 8 chứng chỉ TLS trung gian với khóa riêng tư cực kỳ yếu (từ 4 đến 237 bit). Các khóa yếu này cho phép tạo chứng chỉ tin cậy cho bất kỳ trang web hoặc máy chủ thư điện tử nào. Sự cố bắt nguồn từ lỗi trong quy trình Key Generation Ceremony (KGC) liên quan đến việc bọc/giải bọc khóa và sai sót của con người, dẫn đến việc công khai các khóa yếu. Các trình duyệt đã chặn các chứng chỉ bị ảnh hưởng.
V. Srinivasan, chủ tịch eMudhra Limited, cho biết chi phí tuân thủ và độ phức tạp ngày càng tăng, cùng với việc dịch vụ này chỉ đóng góp 1% doanh thu, là nguyên nhân. Ông cũng đề cập đến sự xuất hiện của các tổ chức cung cấp chứng chỉ TLS miễn phí làm giảm lợi nhuận đầu tư so với các sản phẩm và dịch vụ khác của công ty.
Công ty giải thích rằng mức độ lan truyền trên mạng xã hội về sự cố này đã gây ra sự chú ý không tương xứng với vai trò của SSL/TLS trong hoạt động kinh doanh của họ. Do đó, hội đồng quản trị đã kết luận rằng việc rút khỏi thị trường SSL/TLS toàn cầu là quyết định đúng đắn cho eMudhra và các cổ đông.
Sự việc xảy ra sau khi các nhà nghiên cứu phát hiện ra eMudhra đã phát hành 8 chứng chỉ với khóa riêng tư có lỗi nghiêm trọng, dễ dàng bị phá vỡ chỉ trong vài mili giây. Kẻ tấn công có thể sử dụng chúng để tạo chứng chỉ TLS được tin cậy bởi tất cả các trình duyệt chính, cũng như vô số máy chủ email, thiết bị IoT, container Docker, máy Linux cũ và các công cụ CLI không được bảo trì. Trong khi khóa mã hóa elliptic curve NIST P-384 thường có khoảng 384 bit entropy, các chứng chỉ bị xâm phạm có kích thước từ 3 đến 8 bit. Các khóa riêng tư có kích thước 4, 56, 66, 115, 155, 156, 230 và 237 bit.
Các nhà phát triển trình duyệt đã chặn các chứng chỉ được cấp bằng các chứng chỉ trung gian bị ảnh hưởng trong vòng một hoặc hai ngày sau khi phát hiện. eMudhra có thể đối mặt với việc bị CA/Browser Forum, một tổ chức đặt ra các quy tắc cho chương trình chứng chỉ TLS, tước bỏ tư cách thành viên.
Câu hỏi thường gặp
Khóa riêng tư yếu có nghĩa là gì?
Khóa riêng tư yếu là khóa mã hóa có độ dài bit thấp, khiến chúng dễ bị phá vỡ hơn. Trong trường hợp này, các khóa của eMudhra chỉ có từ 4 đến 237 bit, trong khi khóa an toàn thường có 384 bit trở lên.
Key Generation Ceremony (KGC) là gì?
KGC là quy trình tạo khóa mã hóa. Trong trường hợp của eMudhra, một lỗi trong quy trình này đã dẫn đến việc tạo ra các khóa yếu.
Các trình duyệt đã phản ứng như thế nào với sự cố này?
Các trình duyệt đã chặn các chứng chỉ được cấp bằng các chứng chỉ trung gian bị ảnh hưởng, ngăn chặn các kết nối không an toàn đến các trang web sử dụng chúng.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc eMudhra rút khỏi thị trường TLS cho thấy tầm quan trọng của việc đảm bảo an toàn cho khóa riêng tư trong quá trình cấp chứng chỉ. Các doanh nghiệp Việt Nam sử dụng chứng chỉ TLS cần kiểm tra kỹ lưỡng nguồn gốc và quy trình cấp chứng chỉ của nhà cung cấp. Điều đáng chú ý là sự cố này nhấn mạnh sự cần thiết của việc kiểm tra và giám sát liên tục các hệ thống bảo mật, ngay cả khi sử dụng phần cứng bảo mật (HSM).