emudhra sử dụng khóa riêng yếu, một khóa thậm chí là số '4'
"Indian certification authority eMudhra generated weak private keys (including one key being the number '4') used to sign digital certificates. This vulnerability allows for potential certificate forgery and impersonation. The company attributes the issue to a flaw in their Key Generation Ceremony and claims to be working on replacements and root cause analysis."
Sự cố này tạo ra rủi ro cao về mất an toàn dữ liệu và giả mạo danh tính. Các chứng chỉ bị ảnh hưởng có thể được sử dụng để thực hiện các cuộc tấn công man-in-the-middle.
Các doanh nghiệp sử dụng chứng chỉ của eMudhra phải thực hiện thay thế khẩn cấp, gây ra chi phí và gián đoạn dịch vụ. Sự cố này cũng gây tổn hại đến uy tín của eMudhra.
Công ty chứng thực Ấn Độ eMudhra đã bảo vệ việc sử dụng các khóa riêng yếu (bao gồm cả khóa có giá trị là số '4') để ký các chứng chỉ số. Sự việc này có thể dẫn đến việc giả mạo chứng chỉ và mạo danh.
Đối với các kỹ sư và doanh nghiệp Việt Nam, đây là lời nhắc nhở về tầm quan trọng của việc kiểm tra kỹ lưỡng các chứng chỉ số và nhà cung cấp chứng thực. Việc sử dụng chứng chỉ yếu có thể gây ra rủi ro bảo mật nghiêm trọng.
eMudhra cho biết lỗi này xuất phát từ một sai sót trong quá trình “Key Generation Ceremony” (KGC) và đang làm việc để thay thế các khóa bị ảnh hưởng. Họ khẳng định các HSM (Hardware Security Modules) cấp độ 3 FIPS 140-2 đã được sử dụng, nhưng một bước “wrap/unwrap” trong KGC đã tạo ra các khóa yếu.
Công ty cũng nhấn mạnh rằng các root CA và issuing CA của họ đã trải qua kiểm toán độc lập trong hai năm liên tiếp và được các trình duyệt tin cậy kể từ giữa năm 2025. Tuy nhiên, việc khắc phục sự cố này sẽ tốn kém và mất thời gian. Doanh thu từ TLS chỉ chiếm 1% tổng doanh thu của eMudhra.
Hiện tại, eMudhra đang liên hệ với khách hàng bị ảnh hưởng để cung cấp chứng chỉ thay thế và tiếp tục điều tra nguyên nhân gốc rễ. Họ cũng thừa nhận sự cố có thể gây ra rủi ro về uy tín. https://www.theregister.com/2026/10/22/emudhra_private_keys/
Câu hỏi thường gặp
Khóa riêng yếu có thể gây ra hậu quả gì?
Khóa riêng yếu cho phép kẻ tấn công giả mạo chứng chỉ số, từ đó có thể mạo danh các trang web hoặc dịch vụ trực tuyến. Điều này có thể dẫn đến các cuộc tấn công phishing hoặc đánh cắp thông tin.
eMudhra đang làm gì để khắc phục sự cố?
eMudhra đang làm việc để thay thế các chứng chỉ bị ảnh hưởng và điều tra nguyên nhân gốc rễ của sự cố. Họ cũng đang liên hệ với khách hàng bị ảnh hưởng để cung cấp chứng chỉ thay thế.
HSM là gì và tại sao chúng lại quan trọng?
HSM (Hardware Security Modules) là các thiết bị phần cứng được thiết kế để bảo vệ các khóa mã hóa. Chúng được sử dụng để tạo, lưu trữ và quản lý các khóa một cách an toàn, ngăn chặn truy cập trái phép.
Góc nhìn của Orange Cloud
Theo chúng tôi, sự cố này cho thấy tầm quan trọng của việc kiểm tra độc lập và liên tục các quy trình tạo khóa. Các doanh nghiệp Việt Nam nên xem xét lại quy trình lựa chọn và đánh giá nhà cung cấp chứng chỉ số. Điều đáng chú ý là việc eMudhra cho rằng các khóa yếu được tạo ra do một lỗi trong quy trình, chứ không phải do HSM bị xâm phạm. Đây là một điểm khác biệt quan trọng so với các vụ tấn công vào chuỗi cung ứng phần mềm.