Khi lên mạng, trên thanh địa chỉ có hình ổ khóa nhỏ, nghĩa là danh tính của trang web đã được xác minh. Việc xác minh dựa vào chứng chỉ số do các tổ chức chứng thực cấp. Bạn có thể hình dung thế này: tổ chức chứng thực cấp cho trang web một tấm căn cước, trên tay họ có một con dấu với hoa văn là một chuỗi số.
Có một tổ chức chứng thực có 8 con dấu mang hoa văn: 4, 56, 66, 115, 155, 156, 230, 237.
Bình thường, con số đó phải dài hơn một trăm chữ số, nhưng thực tế lại chỉ có tối đa ba chữ số.
Vì vậy, bất kỳ ai có một chứng chỉ công khai đều có thể thử lần lượt 256 khả năng và sao chép được con dấu trong chưa đầy một giây.
Con dấu không bị đánh cắp. Nó vẫn nằm nguyên tại chỗ, không ai đụng đến máy chủ. Chỉ là hoa văn quá ngắn.
Người phát hiện ra chuyện này đã dùng cả 8 con dấu để đóng cùng một câu rồi gửi cho một số công ty trình duyệt: "Chỗ chúng tôi có vấn đề — Wayne". Firefox vá lỗi sau 3 giờ, Google vá ngay trong ngày, còn Apple và Microsoft cũng làm theo trong vòng hai ngày.
8 con dấu này được tạo ra vào tháng 4 năm 2025, cách nhau 18 tháng.
Khi xác minh chứng chỉ, hệ thống chỉ kiểm tra "con dấu có đóng đúng không", chứ không bao giờ kiểm tra "hoa văn có đủ dài, đủ ngẫu nhiên không".
Vì vậy, con dấu có hoa văn là số 4 và con dấu dài, được tạo ngẫu nhiên thực sự đều cho kết quả xác minh như nhau: hợp lệ.
Cũng chẳng có bản ghi nào ghi lại rằng "chứng chỉ này được đóng bằng con dấu yếu". Trong suốt 18 tháng, mọi hệ thống đều hiển thị bình thường. Debian cũng từng gặp lỗi cùng loại vào năm 2008: khâu tạo bị lỗi, còn khâu kiểm tra thì không chặn được.
Một tổ chức lớn hơn đã bảo chứng cho 8 con dấu này, khiến số chứng chỉ tăng từ 8 lên 16.
Nếu ai đó dùng chúng để giả mạo trang web của sàn giao dịch hay ví điện tử bạn thường dùng, ổ khóa trên trình duyệt vẫn màu xanh, địa chỉ trang web vẫn đúng. Bạn sẽ không biết kẻ trung gian đã nhìn thấy hay sửa đổi những gì, và cũng chẳng có ghi chép nào lưu lại.
Tin tốt là 8 con dấu này chưa từng được dùng để ký chứng chỉ cho trang web cụ thể nào, và cũng chưa có báo cáo công khai nào về việc chúng bị lạm dụng.
Tin xấu là các hình ảnh Docker, máy chủ cũ, camera và phần mềm không kiểm tra "chứng chỉ có bị thu hồi không" sẽ không tự cập nhật. Chúng vẫn tin cậy cả 16 chứng chỉ này.
Tôi nghiêng về việc xem đây là vấn đề mang tính hệ thống, chứ không phải công ty nào đó sơ suất nhất thời. Khâu kiểm toán đã không phát hiện ra vì chỉ xem xét quy trình.
Liệu người phát hiện ra nó lần tới có lại là một người tình cờ tính thử một lần không?
Có một tổ chức chứng thực có 8 con dấu mang hoa văn: 4, 56, 66, 115, 155, 156, 230, 237.
Bình thường, con số đó phải dài hơn một trăm chữ số, nhưng thực tế lại chỉ có tối đa ba chữ số.
Vì vậy, bất kỳ ai có một chứng chỉ công khai đều có thể thử lần lượt 256 khả năng và sao chép được con dấu trong chưa đầy một giây.
Con dấu không bị đánh cắp. Nó vẫn nằm nguyên tại chỗ, không ai đụng đến máy chủ. Chỉ là hoa văn quá ngắn.
Người phát hiện ra chuyện này đã dùng cả 8 con dấu để đóng cùng một câu rồi gửi cho một số công ty trình duyệt: "Chỗ chúng tôi có vấn đề — Wayne". Firefox vá lỗi sau 3 giờ, Google vá ngay trong ngày, còn Apple và Microsoft cũng làm theo trong vòng hai ngày.
8 con dấu này được tạo ra vào tháng 4 năm 2025, cách nhau 18 tháng.
Khi xác minh chứng chỉ, hệ thống chỉ kiểm tra "con dấu có đóng đúng không", chứ không bao giờ kiểm tra "hoa văn có đủ dài, đủ ngẫu nhiên không".
Vì vậy, con dấu có hoa văn là số 4 và con dấu dài, được tạo ngẫu nhiên thực sự đều cho kết quả xác minh như nhau: hợp lệ.
Cũng chẳng có bản ghi nào ghi lại rằng "chứng chỉ này được đóng bằng con dấu yếu". Trong suốt 18 tháng, mọi hệ thống đều hiển thị bình thường. Debian cũng từng gặp lỗi cùng loại vào năm 2008: khâu tạo bị lỗi, còn khâu kiểm tra thì không chặn được.
Một tổ chức lớn hơn đã bảo chứng cho 8 con dấu này, khiến số chứng chỉ tăng từ 8 lên 16.
Nếu ai đó dùng chúng để giả mạo trang web của sàn giao dịch hay ví điện tử bạn thường dùng, ổ khóa trên trình duyệt vẫn màu xanh, địa chỉ trang web vẫn đúng. Bạn sẽ không biết kẻ trung gian đã nhìn thấy hay sửa đổi những gì, và cũng chẳng có ghi chép nào lưu lại.
Tin tốt là 8 con dấu này chưa từng được dùng để ký chứng chỉ cho trang web cụ thể nào, và cũng chưa có báo cáo công khai nào về việc chúng bị lạm dụng.
Tin xấu là các hình ảnh Docker, máy chủ cũ, camera và phần mềm không kiểm tra "chứng chỉ có bị thu hồi không" sẽ không tự cập nhật. Chúng vẫn tin cậy cả 16 chứng chỉ này.
Tôi nghiêng về việc xem đây là vấn đề mang tính hệ thống, chứ không phải công ty nào đó sơ suất nhất thời. Khâu kiểm toán đã không phát hiện ra vì chỉ xem xét quy trình.
Liệu người phát hiện ra nó lần tới có lại là một người tình cờ tính thử một lần không?