eMudhra để lộ khóa mã hóa yếu: 22.000 kết nối thử nghiệm
"eMudhra exposed eight weak cryptographic keys (4, 56, 66, 115, 155, 156, 230, and 237) allowing for the potential creation of fraudulent certificates. Cloudflare quickly patched its systems and observed approximately 22,000 attempted handshakes using these keys, primarily for testing purposes, with a small number attempting to forge certificates for unrelated domains. No evidence of successful interception of Cloudflare connections was found."
Sự cố lỗ hổng khóa mã hóa của eMudhra tiềm ẩn nguy cơ tạo chứng chỉ giả mạo, ảnh hưởng đến tính toàn vẹn của kết nối TLS.
Các doanh nghiệp sử dụng chứng chỉ do eMudhra cấp có thể gặp rủi ro về mất lòng tin và gián đoạn dịch vụ. Việc kiểm tra và thay thế chứng chỉ là cần thiết.
Cloudflare phát hiện eMudhra sử dụng 8 khóa mã hóa yếu (4, 56, 66, 115, 155, 156, 230, 237) có thể tạo chứng chỉ giả mạo. Cloudflare đã vá hệ thống và ghi nhận khoảng 22.000 lần bắt tay sử dụng các khóa này, chủ yếu để kiểm thử. Một số ít khác cố gắng tạo chứng chỉ cho các tên miền không liên quan. Hiện chưa có bằng chứng nào cho thấy kết nối Cloudflare bị chặn thành công.
eMudhra đã công bố sẽ rời khỏi thị trường CA công cộng và cho biết lỗi do script tạo khóa. Họ đã ký danh sách thu hồi chứng chỉ (CRL) bằng khóa yếu, sau đó sửa lại. Việc này không kích hoạt cảnh báo, cần làm rõ vai trò của bộ kiểm toán và người ký chéo.
Cloudflare ưu tiên vá các hệ thống quan trọng từ ngày 19/10, bao gồm proxy hướng đến máy chủ nguồn sử dụng Pingora. Họ phân tích mã nguồn bằng AI để tìm hệ thống tin cậy các khóa yếu này trong 4 giờ. Các hệ thống có rủi ro cao được vá ngay lập tức, các hệ thống khác được khắc phục vào cuối tuần trước.
Cloudflare đã thêm nhật ký vào Pingora để theo dõi chứng chỉ eMudhra. Sau khi triển khai hoàn tất ngày 21/10, họ ghi nhận 22.000 lần bắt tay. Hai phần ba là truy cập các trang thử nghiệm, phần còn lại tạo chứng chỉ cho chính họ. Các kết nối được xác minh đều bị từ chối vì đã được vá. Khoảng 160 lần bắt tay sử dụng tên miền khác với SNI, một số liên quan đến thiết bị IoT. Các chứng chỉ giả mạo được tạo sau khi lỗ hổng công khai, có thời hạn lên đến hai năm. Tuy nhiên, chúng trông giống chứng chỉ mặc định của máy chủ, không phải tấn công chặn kết nối. Máy chủ trình bày cùng một chứng chỉ cho nhiều vị trí Cloudflare, cho thấy chúng đến từ chính máy chủ.
Hiện chưa có bằng chứng về việc sử dụng các khóa yếu để chặn kết nối Cloudflare, nhưng chúng đã được dùng để tạo chứng chỉ giả mạo chỉ sau một giờ kể từ khi Mozilla báo cáo lỗi. Điều này không loại trừ khả năng chặn mục tiêu. Cloudflare vẫn theo dõi các dấu hiệu xâm nhập hệ thống.
Câu hỏi thường gặp
eMudhra đã làm gì sau khi phát hiện lỗ hổng?
eMudhra đã công bố sẽ rời khỏi thị trường CA công cộng và cho biết lỗi do script tạo khóa. Họ đã ký CRL bằng khóa yếu, sau đó sửa lại.
Cloudflare đã phản ứng như thế nào?
Cloudflare đã vá các hệ thống quan trọng, phân tích mã nguồn bằng AI và thêm nhật ký để theo dõi chứng chỉ eMudhra. Họ đã từ chối các kết nối sử dụng khóa yếu.
Có bằng chứng nào về việc khai thác lỗ hổng này không?
Cloudflare ghi nhận 22.000 lần bắt tay sử dụng khóa yếu, chủ yếu để kiểm thử. Một số ít đã tạo chứng chỉ giả mạo, nhưng chưa có bằng chứng về việc chặn kết nối.
Góc nhìn của Orange Cloud
Theo chúng tôi, sự việc này cho thấy tầm quan trọng của việc kiểm tra kỹ lưỡng các khóa mã hóa. Các doanh nghiệp Việt Nam sử dụng chứng chỉ số cần kiểm tra xem hệ thống của họ có bị ảnh hưởng hay không. Điều đáng chú ý là thời gian phản ứng nhanh chóng của Cloudflare, cho thấy việc chuẩn bị sẵn sàng cho các sự cố bảo mật là rất quan trọng. Các doanh nghiệp nên xem xét việc triển khai các giải pháp phát hiện và ngăn chặn các chứng chỉ giả mạo.