Đơn vị cấp chứng chỉ Ấn Độ mất uy tín rời bỏ mảng cấp chứng chỉ

Chuyện gì đã xảy ra?

eMudhra thông báo rằng họ sẽ bỏ mảng SSL/TLS toàn cầu. SSL/TLS là loại chứng chỉ giúp trang web an toàn, ví dụ như trang có biểu tượng ổ khóa trên trình duyệt. Quyết định này đến ngay sau khi các báo cáo công khai chỉ ra rằng khóa bí mật của công ty quá yếu. Một trong số đó chỉ là số 4.

Các con số chính

• Mảng SSL/TLS toàn cầu chỉ chiếm khoảng 1% doanh thu toàn cầu của eMudhra.
• Có 8 khóa bí mật yếu, thuộc 8 cơ quan cấp chứng chỉ trung gian.
• Các khóa yếu có giá trị như 4, 56, 66, 115, 155, 156, 230 và 237.
• Công ty nói đã thu hồi các cơ quan cấp chứng chỉ đó trong vòng 14 giờ sau khi phát hiện vấn đề.

Vì sao chuyện này nghiêm trọng?

Khóa bí mật giống như chìa khóa đặc biệt. Chỉ chủ nhân mới được giữ chìa khóa đó. Nếu khóa quá yếu, kẻ xấu có thể đoán ra và giả mạo chứng chỉ. Các trình duyệt có thể tin nhầm những chứng chỉ giả này. eMudhra nói rằng các cơ quan bị ảnh hưởng chưa cấp chứng chỉ cho trang web hay người dùng cuối nào. Tuy nhiên, công ty cũng nói lỗi xảy ra trong bước tạo khóa, khi một quy trình đã tạo thêm một bộ khóa yếu bên cạnh bộ khóa mạnh.

Vì sao điều này quan trọng?

Chứng chỉ là nền tảng giúp internet an toàn. Khi một đơn vị cấp chứng chỉ mắc lỗi lớn, người dùng có thể mất niềm tin vào cả hệ thống. Câu chuyện này cũng cho thấy việc kiểm toán độc lập và quản lý khóa phải được làm rất cẩn thận. Ngay cả khi các kiểm toán đã được thực hiện, lỗi nghiêm trọng vẫn có thể bị bỏ sót.

Cần theo dõi điều gì?

• Các trình duyệt và kho gốc tin cậy có gỡ eMudhra khỏi danh sách tin cậy hay không.
• Việc rời khỏi mảng SSL/TLS sẽ diễn ra như thế nào và các chứng chỉ hiện có sẽ được xử lý ra sao.
• Kết quả điều tra xem vì sao lỗi không được phát hiện sớm hơn.