Nhà cung cấp chứng chỉ eMudhra rút khỏi mảng chứng chỉ SSL/TLS sau sự cố khóa bí mật; chứng chỉ của khách hàng hiện tại sẽ được thay thế miễn phí

Chuyện gì đã xảy ra?

Ngày 22/10/2026 (giờ địa phương), eMudhra thông báo tự nguyện rút khỏi mảng chứng chỉ SSL/TLS toàn cầu. Lý do là 8 chứng chỉ trung gian do công ty vận hành có khóa bí mật dùng để ký, và người thứ ba có thể khôi phục khóa này rất dễ dàng. Chứng chỉ SSL/TLS giúp bạn biết một trang web có thật hay không khi truy cập bằng HTTPS. Sau khi lỗi được báo cáo, Mozilla, Google, Apple và Microsoft lần lượt chặn các chứng chỉ trung gian này.

Các con số và sự kiện chính

• Lỗi được nhà nghiên cứu báo cáo vào ngày 17/10/2026.
• eMudhra thu hồi (vô hiệu hóa) chứng chỉ bị ảnh hưởng trong vòng 14 giờ kể từ khi phát hiện.
• Mảng SSL/TLS toàn cầu chỉ chiếm khoảng 1% doanh thu của công ty.
• Công ty cho biết không có chứng chỉ nào được cấp cho trang web từ CA bị lỗi, và không có dữ liệu nào bị rò rỉ.

Tại sao công ty rút lui?

Theo chủ tịch V. Srinivasan, mảng này ngày càng phức tạp và tốn kém vì các yêu cầu về quyền kiểm soát dữ liệu và tuân thủ pháp luật tăng dần. Trong khi đó, các nhà cung cấp lớn phát hành chứng chỉ miễn phí, nên lợi nhuận giảm mạnh. Sự cố này còn lan truyền trên mạng xã hội và thu hút quá nhiều sự chú ý so với quy mô kinh doanh. Ban giám đốc vì vậy đã chính thức quyết định rút lui.

Khách hàng hiện tại được hỗ trợ thế nào?

• eMudhra tiếp tục vận hành chứng chỉ gốc G1 (kiểu RSA) cho đến khi việc chuyển đổi hoàn tất.
• Công ty sẽ liên hệ trực tiếp với khách hàng bị ảnh hưởng.
• Chứng chỉ sẽ được thay thế miễn phí bằng chứng chỉ từ đối tác.
• Các sản phẩm chữ ký số, eSign, emCA, CertiNext, emSigner và SecurePass không bị ảnh hưởng.

Tại sao tin này quan trọng?

Chứng chỉ là nền tảng giúp người dùng tin rằng trang web họ truy cập là thật. Khi một nhà cấp chứng chỉ để lộ khóa bí mật, nhiều doanh nghiệp phải đổi chứng chỉ gấp. Tin này cho thấy rủi ro bảo mật có thể khiến cả một nhà cung cấp phải rời thị trường.