eMudhra phớt lờ hạn chót điều tra gốc của Mozilla; đổ lỗi cho mạng xã hội

Chuyện gì đã xảy ra

Ngày 17/10, Mozilla nhận được báo cáo cho biết khóa riêng của 8 chứng chỉ trung gian của eMudhra đã bị lộ. Người báo cáo còn đưa ra bằng chứng rằng họ thật sự điều khiển được các khóa đó. Mozilla xác nhận bằng chứng là đúng và gỡ tin cậy các chứng chỉ trong Firefox chỉ vài giờ sau. Mozilla cũng tự khôi phục được các khóa riêng mà không cần biết người báo cáo đã làm thế nào. Điều này cho thấy quy trình tạo khóa của eMudhra có lỗi và rất dễ bị khai thác.

Con số và sự kiện chính

• 8 chứng chỉ trung gian bị ảnh hưởng: 6 chứng chỉ dùng cho TLS (mã hóa kết nối web) và 2 chứng chỉ dùng để ký mã phần mềm.
• Mozilla gỡ tin cậy các chứng chỉ trong Firefox từ 20:08 UTC đến 22:59 UTC cùng ngày.
• eMudhra phản hồi lúc 21:29 UTC và cho biết đã báo cho Sectigo, vì Sectigo đã ký chéo một số chứng chỉ bị ảnh hưởng.

Bối cảnh cho người mới

Chứng chỉ số giống như giấy tờ xác nhận danh tính cho một website hoặc phần mềm. Mỗi chứng chỉ có một khóa riêng bí mật, chỉ chủ sở hữu được giữ. Nếu khóa riêng bị lộ, kẻ xấu có thể giả mạo website hoặc phần mềm. Vì vậy các trình duyệt như Firefox phải gỡ tin cậy chứng chỉ bị lộ ngay.

Vì sao chuyện này quan trọng

Vụ việc cho thấy một công ty cấp chứng chỉ có thể làm rò rỉ khóa bí mật của chính mình. Câu chuyện còn gây tranh cãi vì Mozilla nói eMudhra đã bỏ qua hạn chót điều tra, còn eMudhra lại đổ lỗi cho mạng xã hội. Người dùng và các trình duyệt cần những câu trả lời rõ ràng về nguyên nhân và cách phòng tránh.

Cần theo dõi

• eMudhra có công bố nguyên nhân gốc rễ và kế hoạch sửa lỗi quy trình tạo khóa hay không.
• Các trình duyệt và hệ thống như Microsoft, Apple và Chrome sẽ xử lý các chứng chỉ bị ảnh hưởng ra sao.
• Mozilla có thể đặt thêm câu hỏi hoặc đưa ra hành động tiếp theo đối với eMudhra.