Các nhà cung cấp trình duyệt lớn cùng những công ty công nghệ khác đã triển khai biện pháp bảo vệ khẩn cấp để ngăn chặn tám chứng chỉ số trung gian bị xâm phạm do cơ quan cấp chứng chỉ eMudhra Limited có trụ sở tại Ấn Độ phát hành. Các chứng chỉ này bị phát hiện sau khi các nhà nghiên cứu kết luận rằng khóa riêng của chúng được tạo bằng một quy trình có lỗ hổng, có thể “dễ dàng bị khai thác”, tạo điều kiện cho kẻ tấn công giả mạo các trang web hợp pháp.

Kỹ sư Dennis Jackson của Mozilla cho biết Mozilla phát hiện sự cố sau khi nhận được thông báo vào thứ Bảy, đồng thời tự khôi phục các khóa riêng liên quan và kết luận rằng quy trình tạo khóa vừa “có lỗ hổng” vừa “dễ dàng bị khai thác”. Theo Mozilla, kẻ tấn công chặn được kết nối của người dùng có thể đưa ra các chứng chỉ giả để mạo danh một trang web đáng tin cậy, qua đó đọc hoặc thay đổi thông tin đang được truyền tải.

Những điểm chính

• Tám chứng chỉ trung gian của eMudhra đã bị chặn sau khi phát hiện các lỗ hổng trong quá trình tạo khóa.

• Mozilla cho biết họ đã thu hồi các khóa riêng tư ngay sau khi nhận được thông báo đầu tiên và nhanh chóng chặn các chứng chỉ trong Firefox bằng OneCRL.

• Chrome, các nền tảng của Apple và Microsoft đã chặn những chứng chỉ này theo các mốc thời gian khác nhau, bắt đầu từ thứ Bảy; sau đó, việc chặn được triển khai sang các hệ sinh thái khác.

• Mozilla cảnh báo rủi ro có thể vượt ra ngoài phạm vi trình duyệt vì một số ứng dụng khách không thực thi Certificate Transparency.

• Theo thông tin được công bố, không có bằng chứng cho thấy các trình duyệt lớn phổ biến bị lợi dụng; nhật ký Certificate Transparency cũng không ghi nhận mục nào về các chứng chỉ trung gian bị ảnh hưởng kể từ tháng 4 năm 2025.

Điều gì đã bị xâm phạm và vì sao chứng chỉ lại quan trọng

Sự cố liên quan đến tám chứng chỉ trung gian do eMudhra Limited cấp. Các chứng chỉ trung gian nằm trong chuỗi tin cậy mà trình duyệt và những hệ thống khác sử dụng để xác định chứng chỉ mã hóa của kết nối có hợp lệ hay không. Khi chuỗi tin cậy đó bị thao túng, kẻ tấn công có thể giả mạo các tên miền hợp pháp và xâm phạm những phiên kết nối được mã hóa.

Đánh giá sự cố của Mozilla, theo lời Dennis Jackson, cho thấy các khóa riêng tư đứng sau những chứng chỉ trung gian này không được bảo mật đầy đủ và bản thân quy trình tạo khóa cũng có lỗ hổng. Theo Mozilla, tác động thực tế rất rõ ràng: nếu kẻ tấn công có thể chặn kết nối của người dùng, chúng có thể xuất trình chứng chỉ giả để mạo danh một trang web thật và có khả năng xem hoặc sửa đổi dữ liệu được trao đổi.

Ứng phó được triển khai như thế nào trên các hệ sinh thái lớn

Mozilla cho biết họ nhận được báo cáo ban đầu vào thứ Bảy và đã phản ứng ngay trong ngày bằng cách chặn các chứng chỉ bị ảnh hưởng trong Firefox thông qua OneCRL. Các biện pháp bảo vệ cho Firefox được hoàn tất bằng các cài đặt tùy chỉnh, với bản cập nhật được phát hành cho cả phiên bản máy tính và Android. Cách tiếp cận của Mozilla có ý nghĩa với người dùng vì nó tác động trực tiếp đến điểm đưa ra quyết định tin cậy — ngăn ứng dụng khách chấp nhận các chứng chỉ trung gian bị xâm phạm, ngay cả khi quy trình xác thực chứng chỉ thông thường của người dùng vẫn cho phép kết nối.

Cloudflare cho biết họ biết về vấn đề này vào thứ Hai và triển khai các biện pháp giảm thiểu trên nhiều sản phẩm vào thứ Ba. Trong một bài đăng trên blog, Cloudflare cho biết đã cập nhật Cloudflare One, WARP Clients và Cloudflare Tunnel, đồng thời bổ sung các biện pháp giảm thiểu trên những dịch vụ khác. Sự tham gia của công ty cho thấy các vấn đề về độ tin cậy của chứng chỉ không chỉ giới hạn ở trình duyệt; các thành phần mạng nhạy cảm về bảo mật và phần mềm máy khách cũng phụ thuộc vào chuỗi tin cậy hợp lệ.

Jackson cũng cho biết các chứng chỉ đã bắt đầu bị chặn trong Chrome từ thứ Bảy. Ông nói thêm rằng các thiết bị Apple bắt đầu chặn chúng vào thứ Hai, còn các nền tảng Microsoft bắt đầu chặn vào thứ Ba. Mỗi nền tảng có cơ chế cập nhật kho chứng chỉ tin cậy và lịch phân phối riêng, nhưng điều người dùng cần lưu ý là các hệ sinh thái khác nhau có thể đạt mức bảo vệ đầy đủ vào những thời điểm khác nhau — nghĩa là các hệ thống cập nhật chậm có thể tiếp tục gặp rủi ro lâu hơn.

Những gì đã biết về việc khai thác và nhật ký Certificate Transparency

Mozilla cho biết không có bằng chứng cho thấy Firefox, Chrome, Edge và Safari bị tấn công bằng kỹ thuật cụ thể này. Jackson dẫn chiếu nhật ký Certificate Transparency và lưu ý rằng không có mục nào về các chứng chỉ trung gian bị ảnh hưởng kể từ tháng 4 năm 2025. Việc không có bản ghi như vậy làm giảm khả năng kẻ tấn công đã tạo thành công chứng chỉ từ các chứng chỉ trung gian này theo cách có thể bị các hệ thống ghi nhật ký đó phát hiện.

Tuy nhiên, Mozilla cảnh báo rằng nhiều ứng dụng khách bên ngoài hệ sinh thái trình duyệt không thực thi Certificate Transparency. Jackson cho biết hiện vẫn chưa rõ liệu kẻ tấn công có khai thác lỗ hổng trong quy trình tạo khóa để nhắm mục tiêu vào những ứng dụng khách không phải trình duyệt hay không. Sự khác biệt này rất quan trọng với các nhóm CNTT của tổ chức: ngay cả khi các trình duyệt lớn được bảo vệ nhanh chóng, hệ thống nội bộ, ứng dụng chuyên dụng và thiết bị nhúng có thể xác thực chứng chỉ TLS theo cách khác và không tự động áp dụng các bước kiểm tra tính minh bạch hoặc cập nhật kho chứng chỉ tin cậy tương tự.

Bình luận của Jackson cũng nhấn mạnh vì sao các biện pháp chặn khẩn cấp có thể vẫn chưa đủ để loại bỏ hoàn toàn rủi ro. Mặc dù nhiều công ty “đã phát hành bản cập nhật hoặc đang trong quá trình phát hành”, một số ứng dụng và hệ thống có thể không tự động nhận được các lệnh chặn, tùy thuộc vào cách quản lý kho chứng chỉ tin cậy của chúng.

Vì sao sự cố này gợi nhớ đến những vụ xâm phạm cơ quan cấp chứng chỉ trước đây

Biện pháp khẩn cấp liên quan đến eMudhra gợi nhớ đến một vụ việc mang tính bước ngoặt năm 2011 liên quan đến DigiNotar. Trong vụ xâm phạm đó, kẻ tấn công chiếm quyền kiểm soát cơ quan cấp chứng chỉ của Hà Lan và phát hành hàng trăm chứng chỉ SSL giả mạo, trong đó có các chứng chỉ cho phép mạo danh những dịch vụ nổi tiếng như Google. Quy mô và tác động của sự cố DigiNotar cho thấy các lỗi trong hệ thống tin cậy chứng chỉ có thể dẫn đến hoạt động gián điệp ngoài đời thực và chiếm đoạt tài khoản.

Theo thông tin lịch sử được bài viết dẫn lại, các chứng chỉ giả mạo trong vụ DigiNotar đã được dùng để theo dõi một số lượng lớn tài khoản Gmail của người Iran. Vụ eMudhra dường như có cơ chế khác và hiện được mô tả là chưa có bằng chứng về việc khai thác qua trình duyệt, nhưng bài học rộng hơn vẫn còn nguyên: một khi niềm tin vào chứng chỉ bị phá vỡ — đặc biệt là do lỗi trong quy trình tạo khóa — kẻ tấn công có thể lợi dụng điểm yếu tương tự trong chuỗi tin cậy để thực hiện hành vi mạo danh kiểu trung gian.

Những điều người dùng và đội ngũ phòng thủ cần theo dõi tiếp

Với hầu hết người dùng, bước thiết thực tiếp theo là cập nhật trình duyệt và phần mềm máy khách để kịp nhận các biện pháp giảm thiểu liên quan đến kho chứng chỉ tin cậy. Với các nhóm bảo mật, điều cấp thiết hơn cần theo dõi là liệu những hệ thống không dùng trình duyệt (ứng dụng tùy chỉnh, ứng dụng khách nhúng hoặc môi trường bỏ qua Certificate Transparency) có áp dụng các bản cập nhật tin cậy khẩn cấp hay không — bởi cảnh báo của Mozilla cho thấy việc không thực thi tính minh bạch có thể khiến bề mặt tấn công ngoài các trình duyệt phổ biến vẫn còn rộng.

Bài viết này ban đầu được đăng với tiêu đề “Các hãng công nghệ bắt đầu chặn 8 chứng chỉ eMudhra do nguy cơ lừa đảo” trên Crypto Breaking News — nguồn tin đáng tin cậy của bạn về tin tức tiền mã hóa, Bitcoin và các cập nhật blockchain.