8 chứng chỉ TLS bị xâm phạm, cảnh báo bảo mật toàn cầu
"Eight TLS certificates issued by eMudhra Limited were discovered with extremely weak private keys (3-8 bits instead of the standard 384), potentially allowing malicious actors to mint trusted credentials. Browser makers and some apps have blocked the affected intermediate certificates, but widespread updates to systems like Linux distributions and IoT devices will be time-consuming. The incident highlights the vulnerability of TLS to its weakest links and echoes the complexity of recovery seen in events like Heartbleed."
Sự cố này tạo ra mối đe dọa nghiêm trọng đến tính bảo mật của các kết nối TLS, cho phép kẻ tấn công tạo chứng chỉ giả mạo và thực hiện tấn công trung gian.
Các doanh nghiệp có thể phải đối mặt với chi phí lớn để cập nhật hệ thống và mất uy tín nếu dữ liệu khách hàng bị xâm phạm. Các nhà cung cấp dịch vụ VPN có thể bị ảnh hưởng đặc biệt nghiêm trọng.
Cloudflare vừa phát hiện 8 chứng chỉ TLS do eMudhra Limited cấp có khóa riêng cực kỳ yếu (chỉ 3-8 bit thay vì tiêu chuẩn 384 bit), tạo điều kiện cho kẻ tấn công tạo ra chứng chỉ đáng tin cậy giả mạo. Các nhà phát triển trình duyệt và một số ứng dụng đã chặn các chứng chỉ trung gian bị ảnh hưởng, nhưng việc cập nhật rộng rãi cho các hệ thống như bản phân phối Linux và thiết bị IoT sẽ mất nhiều thời gian.
Sự cố này cho thấy điểm yếu của TLS nằm ở mắt xích yếu nhất và tương tự độ phức tạp trong khắc phục như sự cố Heartbleed trước đây.
Các chứng chỉ trung gian bị xâm phạm thuộc về cơ quan chứng thực eMudhra Limited của Ấn Độ. Một thông báo được đăng trên emudhra.we-have-a-problem.com có nội dung “Chúng tôi gặp vấn đề ở đây – Wayne.”, được ký bằng khóa riêng của một trong các chứng chỉ eMudhra. Việc kiểm soát khóa này cho phép kẻ tấn công tạo chứng chỉ trái phép được tin cậy bởi hàng triệu máy chủ trên toàn thế giới.
Filippo Valsorda, kỹ sư mật mã của Go, nhận định đây là “công việc dọn dẹp lớn hơn Heartbleed”. Việc cập nhật các hệ thống khác nhau như thiết bị IoT, Docker, máy Linux cũ và các công cụ CLI sẽ mất rất nhiều thời gian. Các bản phân phối Linux vẫn đang triển khai bản cập nhật, và quản trị viên hệ thống cần áp dụng chúng cho nhiều máy.
Sự cố Heartbleed năm 2014 đã cho thấy lỗ hổng trong thư viện OpenSSL, cho phép kẻ tấn công giải mã dữ liệu TLS, lấy cắp khóa riêng, cookie và mật khẩu. Việc khắc phục đòi hỏi nhiều bước, kéo dài nhiều năm.
Kích thước khóa riêng của các chứng chỉ bị xâm phạm chỉ từ 3 đến 8 bit, trong khi khóa NIST P-384 tiêu chuẩn có khoảng 384 bit. Ben Cartwright-Cox, giám đốc BGP.tools, nghi ngờ đây có thể là mã ví dụ bị rò rỉ vào môi trường sản xuất.
Hiện tại, mối đe dọa lớn nhất là đối với người dùng VPN, đặc biệt ở các quốc gia có chính phủ theo dõi lưu lượng truy cập. Người dùng nên tạm thời tránh sử dụng các hình thức giao tiếp TLS không phải trình duyệt cho đến khi có thông báo cập nhật. Các trình duyệt đã chặn các chứng chỉ này, ngoại trừ Edge (tính đến thời điểm bài viết).
Sự cố này cho thấy TLS chỉ mạnh bằng mắt xích yếu nhất. Mặc dù nhật ký minh bạch chứng chỉ giúp phát hiện, nhưng chúng yêu cầu giám sát liên tục và chỉ hoạt động sau khi chứng chỉ trái phép được cấp. Đại diện eMudhra chưa đưa ra bình luận.
Việc khai thác chứng chỉ bị xâm phạm đòi hỏi kẻ tấn công phải can thiệp vào giữa hai bên giao tiếp TLS. Điều này thường khó khăn, trừ khi kẻ tấn công kiểm soát mạng cục bộ.
Câu hỏi thường gặp
Chứng chỉ TLS là gì?
Chứng chỉ TLS (Transport Layer Security) là một loại tệp dữ liệu điện tử xác minh danh tính của một trang web và cho phép kết nối an toàn giữa trình duyệt của bạn và trang web đó. Nó đảm bảo dữ liệu được truyền đi được mã hóa.
Khóa riêng yếu có nghĩa là gì?
Khóa riêng là một phần bí mật của một cặp khóa được sử dụng trong mã hóa TLS. Khóa riêng yếu có nghĩa là nó dễ bị phá vỡ, cho phép kẻ tấn công tạo ra chứng chỉ giả mạo.
Các trình duyệt đã làm gì để đối phó với sự cố này?
Hầu hết các trình duyệt lớn đã chặn các chứng chỉ trung gian bị xâm phạm, ngăn chặn chúng được sử dụng để tạo chứng chỉ giả mạo. Tuy nhiên, Edge vẫn còn kết nối với một số máy chủ dễ bị tấn công.
Người dùng có thể làm gì để bảo vệ bản thân?
Người dùng nên cập nhật trình duyệt và hệ điều hành của họ lên phiên bản mới nhất. Ngoài ra, họ nên thận trọng khi sử dụng VPN và các hình thức giao tiếp TLS khác cho đến khi có thông báo cập nhật.
Góc nhìn cộng đồng
Tổng hợp từ thảo luận công khai. Chỉ những ý có link nguồn. Không thêm ý kiến khi không tìm thấy.
- Hacker NewsChrisArchitect
Một người dùng trên Hacker News cho rằng đây là một công việc dọn dẹp lớn, tương tự như sự cố Heartbleed, và sẽ mất rất nhiều thời gian để cập nhật tất cả các hệ thống bị ảnh hưởng.
Xem thảo luận ➔
Góc nhìn của Orange Cloud
Theo chúng tôi, sự cố này nhấn mạnh tầm quan trọng của việc quản lý khóa riêng một cách cẩn thận. Các doanh nghiệp Việt Nam nên kiểm tra cấu hình máy chủ và đảm bảo sử dụng khóa có độ dài đủ mạnh. Điều đáng chú ý là các nhà cung cấp dịch vụ VPN cần ưu tiên cập nhật để bảo vệ người dùng khỏi các cuộc tấn công trung gian.