eMudhra ngừng phát hành chứng thư SSL/TLS sau sự cố bảo mật
"Indian certificate authority eMudhra has ceased issuing global SSL/TLS certificates following the exposure of weak private keys, including one as simple as the number '4'. The compromised keys belonged to eight intermediate CAs, though eMudhra claims no end-entity certificates were issued using them. The company cites compliance costs and negative publicity as contributing factors to the decision."
Sự cố này cho thấy lỗ hổng bảo mật nghiêm trọng trong quy trình quản lý khóa của eMudhra, có thể dẫn đến giả mạo chứng thư và tấn công trung gian.
Việc eMudhra rút khỏi thị trường SSL/TLS có thể ảnh hưởng đến các doanh nghiệp đang sử dụng dịch vụ của họ, buộc họ phải tìm kiếm nhà cung cấp mới và thực hiện di chuyển dữ liệu.
Hãng chứng thực Ấn Độ eMudhra đã quyết định dừng phát hành chứng thư SSL/TLS toàn cầu sau khi bị phát hiện sử dụng các khóa riêng yếu, thậm chí có một khóa đơn giản chỉ là số '4'. Các khóa bị ảnh hưởng thuộc về tám CA trung gian, nhưng eMudhra khẳng định không có chứng thư thực thể nào được cấp bằng các khóa này.
Công ty cho biết chi phí tuân thủ và sự cạnh tranh từ các nhà cung cấp chứng thư miễn phí cũng góp phần vào quyết định này. Theo eMudhra, mảng SSL/TLS chỉ chiếm khoảng 1% doanh thu toàn cầu. Việc quảng bá trên mạng xã hội về sự cố này cũng gây áp lực lớn.
Sự việc bắt đầu sau báo cáo gửi Mozilla vào ngày 17 tháng 10. Các khóa riêng bị lộ bao gồm 4, 56, 66, 115, 155, 156, 230 và 237. eMudhra giải thích rằng một lỗi trong quá trình tạo khóa đã tạo ra các khóa yếu song song với các khóa mạnh. Tuy nhiên, các khóa yếu lại được công bố lên các kho lưu trữ gốc của trình duyệt. Công ty khẳng định đã thu hồi các CA bị ảnh hưởng trong vòng 14 giờ sau khi phát hiện sự cố và không có dữ liệu nào bị xâm phạm. Họ sẽ tiếp tục hỗ trợ các gốc G1 RSA cho đến khi khách hàng chuyển sang các nhà cung cấp khác, miễn phí.
The Register đưa tin chi tiết về sự việc.
Câu hỏi thường gặp
eMudhra đã làm gì sau khi phát hiện sự cố?
eMudhra đã thu hồi các CA bị ảnh hưởng trong vòng 14 giờ sau khi phát hiện sự cố và khẳng định không có dữ liệu nào bị xâm phạm. Họ cũng sẽ hỗ trợ khách hàng chuyển sang các nhà cung cấp khác miễn phí.
Các khóa riêng bị lộ có gì đặc biệt?
Một trong các khóa riêng bị lộ là số '4', một giá trị cực kỳ yếu. Các khóa khác cũng tương đối dễ đoán, từ 56 đến 237.
Sự cố này ảnh hưởng đến chứng thư thực thể như thế nào?
eMudhra khẳng định không có chứng thư thực thể nào được cấp bằng các khóa riêng bị lộ. Tuy nhiên, sự việc vẫn gây ra lo ngại về an ninh mạng và tính toàn vẹn của hệ thống.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc eMudhra rút khỏi thị trường SSL/TLS cho thấy tầm quan trọng của việc quản lý khóa bảo mật. Các doanh nghiệp Việt Nam sử dụng chứng thư SSL/TLS cần kiểm tra kỹ lưỡng nhà cung cấp và đảm bảo quy trình tạo khóa an toàn. Điều đáng chú ý là sự cố này nhấn mạnh sự cần thiết của các kiểm tra bảo mật thường xuyên và đánh giá rủi ro để phát hiện các lỗ hổng tiềm ẩn.