Các nhà cung cấp trình duyệt lớn và dịch vụ bảo mật đám mây đã nhanh chóng chặn tám chứng chỉ TLS trung gian do cơ quan cấp chứng chỉ eMudhra Limited có trụ sở tại Ấn Độ phát hành, sau khi các nhà nghiên cứu xác định quy trình tạo khóa của những chứng chỉ này có sai sót và “dễ khai thác đến mức không thể tin được”. Mozilla cho biết họ đã khôi phục được các khóa riêng tư bị ảnh hưởng sau khi nhận được thông báo về sự cố, cho thấy kẻ tấn công có thể giả mạo các trang web hợp pháp như thế nào.

Sự cố này nhắc nhở rằng các lỗi trong hạ tầng khóa công khai (PKI) không chỉ giới hạn ở một trình duyệt duy nhất. Dù nhiều tổ chức đã nhanh chóng bổ sung các chứng chỉ này vào danh sách chặn, Mozilla cảnh báo rủi ro vẫn có thể tồn tại đối với các hệ thống và ứng dụng không tự động tiếp nhận những bản cập nhật đó.

Những điểm chính

• Mozilla cho biết các chứng chỉ trung gian eMudhra bị lỗi có thể tạo điều kiện cho kiểu mạo danh hợp pháp thông qua tấn công xen giữa (man-in-the-middle).

• Các công ty công nghệ đã phản ứng bằng cách chặn tám chứng chỉ trên các trình duyệt và nền tảng lớn, bao gồm Firefox, Chrome, thiết bị Apple và các môi trường Microsoft.

• Mozilla triển khai biện pháp bảo vệ thông qua OneCRL, đồng thời phát hành bản cập nhật trình duyệt để bảo đảm người dùng nhận được các biện pháp giảm thiểu cần thiết.

• Mozilla nhấn mạnh rằng hiện chưa có bằng chứng rõ ràng về việc các trình duyệt bị khai thác trên thực tế, nhưng các ứng dụng không phải trình duyệt vẫn có thể gặp rủi ro.

Vì sao lỗ hổng chứng chỉ eMudhra đáng lo ngại

Theo Dennis Jackson, kỹ sư mật mã của Mozilla, các chứng chỉ có vấn đề bắt nguồn từ một quy trình tạo khóa “có sai sót” và “dễ dàng bị khai thác”. Trong báo cáo sự cố, Jackson cho biết Mozilla đã tự khôi phục được các khóa riêng tư ngay sau khi nhận được thông báo lần đầu vào thứ Bảy, qua đó giúp xác nhận điểm yếu cốt lõi.

Nếu kẻ tấn công có thể chặn kết nối của người dùng, chúng có thể đưa ra các chứng chỉ giả mạo để đóng giả những trang web thật. Mozilla giải thích rằng việc mạo danh như vậy có thể cho phép đối phương đọc hoặc chỉnh sửa thông tin được trao đổi trong phiên, tùy thuộc vào cách thức tấn công và các biện pháp bảo vệ được áp dụng trong môi trường mục tiêu.

Tác động tiềm tàng đó là lý do cốt lõi khiến các kho lưu trữ tin cậy phải hành động khẩn cấp: niềm tin vào chứng chỉ là nền tảng để trình duyệt và nhiều ứng dụng khách xác định một điểm cuối có xác thực hay không.

Cách triển khai biện pháp bảo vệ trên các trình duyệt và nền tảng

Đội ngũ bảo mật Firefox của Mozilla cho biết họ nhận được báo cáo vào thứ Bảy và nhanh chóng chặn các chứng chỉ trung gian bị ảnh hưởng trong Firefox bằng OneCRL, hoàn tất công việc ngay trong ngày. Sau đó, Mozilla phát hành bản cập nhật Firefox cho cả máy tính để bàn lẫn Android.

Mozilla cũng cho biết các bản cập nhật đó bao gồm những cài đặt tùy chỉnh nhằm ngăn một số người dùng bỏ lỡ biện pháp giảm thiểu qua OneCRL. Chi tiết này rất quan trọng vì việc chặn chứng chỉ không chỉ phụ thuộc vào việc lệnh chặn có tồn tại hay không, mà còn phụ thuộc vào việc cấu hình của ứng dụng khách có thực sự nhận được các thay đổi chặn kịp thời hay không.

Cloudflare, đơn vị cũng vận hành hạ tầng bảo mật cho lưu lượng truy cập web, cho biết họ biết về vấn đề vào thứ Hai. Sau đó, vào thứ Ba, công ty phát hành các bản cập nhật cho Cloudflare One, WARP Clients và Cloudflare Tunnel, đồng thời triển khai biện pháp giảm thiểu trên các dịch vụ liên quan.

Jackson cho biết thêm rằng các chứng chỉ đã bị chặn trong Chrome từ thứ Bảy, trên thiết bị Apple từ thứ Hai và trên các nền tảng Microsoft từ thứ Ba. Nói cách khác, nhiều hệ sinh thái tin cậy đã chuyển từ phát hiện vấn đề sang thực thi chặn trong kho chứng chỉ chỉ trong vài ngày.

Những gì đã biết về việc khai thác — và những điểm còn chưa rõ

Jackson cho biết không có bằng chứng cho thấy Firefox, Chrome, Edge hoặc Safari bị tấn công theo cách này. Ông chỉ ra rằng kể từ tháng 4 năm 2025, không có mục nào về các chứng chỉ trung gian này trong nhật ký Certificate Transparency.

Tuy nhiên, kỹ sư của Mozilla cũng cảnh báo rằng nhiều ứng dụng khách bên ngoài hệ sinh thái trình duyệt không thực thi Certificate Transparency. Điều đó có nghĩa là việc không có mục trong nhật ký không loại bỏ hoàn toàn rủi ro — kẻ tấn công vẫn có thể nhắm vào các hệ thống dựa trên những cơ chế xác thực khác.

Trong phần thảo luận về cùng sự cố, Jackson cho biết nhiều ứng dụng khách ở các khâu tiếp theo không áp dụng các bước kiểm tra tính minh bạch tương tự, đồng thời nói rằng “chúng tôi không biết liệu kẻ tấn công có khai thác quy trình tạo khóa bị lỗi để nhắm vào các ứng dụng khách này hay không”. Đối với các tổ chức, điều này cho thấy một sự bất cân xứng thường gặp trong PKI: trình duyệt có thể có các biện pháp bảo vệ chặt chẽ hơn, trong khi ứng dụng khách tùy chỉnh, hệ thống nhúng và các thành phần doanh nghiệp cũ có thể không được bảo vệ tương tự.

Bài học từ các sự cố của cơ quan cấp chứng chỉ trước đây

Phản ứng trước sự cố eMudhra gợi nhớ đến những thất bại lịch sử trong các kho lưu trữ tin cậy — đáng chú ý nhất là vụ xâm nhập DigiNotar năm 2011. Trong vụ đó, kẻ tấn công xâm nhập một cơ quan cấp chứng chỉ và phát hành hàng trăm chứng chỉ SSL giả mạo, tạo điều kiện cho việc mạo danh và giám sát người dùng.

Dù sự cố hiện tại liên quan đến một nhóm chứng chỉ khác và có nguồn gốc khác, bài học về vận hành vẫn tương tự: khi khóa của một cơ quan cấp chứng chỉ bị xử lý sai hoặc được tạo không đúng cách, kẻ tấn công có thể tạo ra các chứng chỉ trông đáng tin, qua mặt những biện pháp phòng thủ đơn giản.

Việc Mozilla nhấn mạnh những nơi mà lệnh chặn có thể không tự động được áp dụng đặc biệt quan trọng trong môi trường doanh nghiệp, nơi các proxy nội bộ, ứng dụng khách chuyên dụng và hệ thống ứng dụng riêng có thể hoạt động khác với các trình duyệt phổ biến.

Tiếp theo, độc giả nên theo dõi xác nhận rằng các chứng chỉ bị chặn đã được gỡ bỏ hoàn toàn khỏi kho chứng chỉ tin cậy của mọi ứng dụng khách lớn, cũng như hướng dẫn về nguy cơ đối với các ứng dụng khách không phải trình duyệt có thể không sử dụng Certificate Transparency. Rủi ro kéo dài ít liên quan đến trình duyệt hơn — vốn phần lớn đã được giảm thiểu — mà chủ yếu nằm ở mọi hệ thống dựa vào các quyết định tin cậy không được tự động cập nhật khi lệnh chặn chứng chỉ được công bố.

Bài viết này ban đầu được đăng với tiêu đề “Các ông lớn công nghệ bắt đầu chặn 8 chứng chỉ eMudhra liên quan đến các trang web giả mạo” trên Crypto Breaking News — nguồn tin đáng tin cậy của bạn về tin tức tiền mã hóa, Bitcoin và các cập nhật blockchain.