Tổ chức CA Ấn Độ eMudhra lộ lỗ hổng tạo khóa riêng tư, trình duyệt toàn cầu khẩn cấp đưa vào danh sách đen để phòng chống tấn công trung gian

Tin tức BlockBeats, ngày 21 tháng 10, một sự cố bảo mật của tổ chức cấp chứng chỉ (CA) đã được phơi bày, thu hút sự quan tâm cao độ của giới an ninh mạng toàn cầu. Tổ chức CA Ấn Độ eMudhra đã bị các nhà nghiên cứu bảo mật phát hiện rằng khóa riêng của 8 chứng chỉ trung gian do họ cấp có lỗi nghiêm trọng trong quá trình tạo. Những khóa riêng lẽ ra phải có độ bảo mật cực cao này, do lỗi triển khai, thông tin thực tế hữu hiệu chỉ tương đương với các số nguyên cực nhỏ (như 4, 56, 66, v.v.), khiến nhân viên bảo mật có thể bẻ khóa hoàn toàn trong chưa đầy một giây. Lỗ hổng này khiến nền tảng tin cậy vốn dùng để bảo vệ an toàn truyền thông mạng trở nên vô dụng.

Chứng chỉ trung gian là mắt xích then chốt trong chuỗi tin cậy mã hóa HTTPS, một khi khóa riêng của nó bị lấy được dễ dàng, kẻ tấn công có thể lợi dụng nó để giả mạo chứng chỉ HTTPS được tin cậy, từ đó nhắm vào ngân hàng, email hoặc bất kỳ trang web được tin cậy nào để phát động tấn công trung gian, chặn, sửa đổi hoặc đánh cắp dữ liệu truyền thông của người dùng. Nguồn gốc của sự cố không phải là sự xâm nhập độc hại từ hacker bên ngoài, mà là lỗi triển khai thảm khốc của eMudhra trong khâu tạo chứng chỉ, sản sinh ra những khóa riêng có độ bảo mật gần như bằng không.

Sau khi sự cố được phơi bày, các nhà sản xuất trình duyệt và phần mềm lớn trên toàn cầu đã nhanh chóng áp dụng các biện pháp phòng thủ khẩn cấp. Chrome, Firefox, Apple và Microsoft đều đã phát hành bản cập nhật bảo mật, đưa 8 chứng chỉ trung gian có rủi ro này vào danh sách đen, ngăn người dùng truy cập các chứng chỉ giả mạo do chúng cấp. Đồng thời, bản thân công ty eMudhra cũng đã chính thức thu hồi các chứng chỉ khiếm khuyết này. Ngoài ra, do nhiều phần mềm phụ thuộc vào kho tin cậy chứng chỉ đi kèm, các ngôn ngữ và framework phát triển chủ lưu như Go, Python, Rust và Electron cũng đã khẩn cấp đẩy bản cập nhật, cấm các chứng chỉ bị ảnh hưởng này trong hệ sinh thái của mình.

Tính đến nay, các tổ chức bảo mật toàn cầu chưa phát hiện bằng chứng về việc các khóa riêng yếu ớt này bị lợi dụng độc hại để cấp chứng chỉ giả mạo. Tuy nhiên, xét đến số lượng lớn thiết bị IoT và các hệ thống cũ chưa kịp cập nhật, việc dọn dẹp toàn diện mối nguy bảo mật này vẫn cần thời gian. Các chuyên gia bảo mật nhắc nhở người dùng rằng biện pháp phòng vệ trực tiếp và hiệu quả nhất hiện nay là đảm bảo trình duyệt và hệ điều hành ở phiên bản mới nhất, để kịp thời nhận danh sách đen chứng chỉ mới nhất, bảo vệ an toàn truy cập mạng của bản thân.