Hatena

Tổng hợp về việc khóa riêng của chứng chỉ CA trung gian eMudhra bị lộ - piyolog

Bảo mậtLần đầu xuất hiện 23 tháng 10, 2026178 điểm

Nhà cung cấp chứng chỉ số eMudhra làm rơi khóa bí mật của 8 chứng chỉ CA trung gian, nên ai cũng có thể tính ra các khóa đó. Các trình duyệt đã chặn những chứng chỉ này, và Mozilla cùng Chrome đã gỡ luôn chứng chỉ gốc emSign ECC Root CA - G3 khỏi danh sách tin cậy.

Chuyện gì đã xảy ra

Ngày 18/10/2026, Mozilla mở một báo cáo lỗi về sự cố này trên Bugzilla. Sự cố liên quan đến eMudhra, một công ty cấp chứng chỉ số (dùng để xác nhận một website hoặc phần mềm là thật). Khóa bí mật là chìa khóa riêng giữ an toàn, còn khóa công khai thì ai cũng thấy. Trong trường hợp này, khóa bí mật của 8 CA trung gian đã bị lộ, nghĩa là ai cũng có thể tính ra chúng từ khóa công khai.

Các con số chính

8 CA trung gian bị ảnh hưởng: 6 cái dùng cho TLS (mã hóa kết nối web) và 2 cái dùng cho ký mã phần mềm.
Có 16 chứng chỉ dùng chung một khóa, vì 8 cái này còn được Sectigo ký chéo.
eMudhra nói chỉ 1 trong 8 CA này được dùng thật trong môi trường vận hành.
Trình duyệt Chrome chặn 6 CA TLS lúc 19:45 UTC ngày 17/10/2026, chỉ khoảng 1 giờ 40 phút sau khi nhận báo cáo lúc 18:05 UTC.
eMudhra thu hồi cả 8 CA từ 09:24 đến 09:38 UTC ngày 18/10/2026.

Nguyên nhân và bối cảnh

Theo eMudhra, 8 CA này được tạo trong buổi lễ tạo khóa ngày 30/4/2025. Lỗi nằm ở phần mềm tạo khóa, làm một cặp khóa yếu được tạo ra trong thiết bị phần cứng bảo mật (HSM) và bị dùng nhầm để tạo yêu cầu chứng chỉ. Năm 2025 cũng từng có lỗi tương tự với danh sách thu hồi chứng chỉ (CRL). eMudhra đang điều tra và sẽ công bố đầy đủ nguyên nhân gốc sau khi xong. Công ty cũng nói sẽ rà soát lại toàn bộ quy trình tạo khóa.

Vì sao chuyện này quan trọng

Với 6 khóa TLS, kẻ tấn công có thể tạo chứng chỉ giả cho bất kỳ tên miền nào. Nếu đứng giữa đường truyền, kẻ đó có thể giả làm trang thật và đọc hoặc sửa dữ liệu đã mã hóa. Với khóa ký mã, kẻ xấu có thể làm phần mềm độc hại trông như được một nhà phát hành đáng tin ký. Theo CERT-In, tính đến 21/10/2026 chưa thấy dấu hiệu bị khai thác. Chrome cũng cho biết chứng chỉ giả không được tin cậy trên các máy bắt buộc kiểm tra Certificate Transparency (nhật ký công khai chứng chỉ).

Cần theo dõi thêm

eMudhra sẽ công bố toàn văn nguyên nhân gốc sau khi điều tra xong.
Chứng chỉ gốc emSign ECC Root CA - G3 bị gỡ khỏi Chrome Root Store (bản V43, phát hành khoảng 27/10/2026) và khỏi NSS của Mozilla (bản 3.131.1).
Các website dùng chứng chỉ dưới gốc này có thể không truy cập được cho tới khi chuyển sang chứng chỉ mới.
emSign Root CA - G1 hiện chưa bị gỡ, nhưng eMudhra vẫn đang đánh giá các CA còn lại.

Chú giải

eMudhra: Công ty cấp chứng chỉ số, hoạt động dưới thương hiệu emSign.
CA trung gian: Cơ quan cấp chứng chỉ nằm giữa, được chứng chỉ gốc ký xác nhận để cấp chứng chỉ cho website hoặc phần mềm.
Khóa bí mật: Khóa riêng chỉ chủ sở hữu được giữ, dùng để ký và giải mã; nếu lộ thì mọi bảo vệ đều mất.
HSM: Thiết bị phần cứng chuyên dụng để tạo và giữ khóa bí mật an toàn.
CRL: Danh sách thu hồi chứng chỉ, liệt kê các chứng chỉ đã bị hủy trước hạn.
Certificate Transparency: Hệ thống nhật ký công khai ghi lại mọi chứng chỉ được cấp, giúp phát hiện chứng chỉ giả.