Sự cố của eMudhra có ý nghĩa gì đối với Web | blog.jxck.io

Chuyện gì đã xảy ra?

eMudhra là một CA gốc được nhiều người tin cậy. Khi tạo khóa bí mật, họ đã mắc lỗi trong quy trình. Một script bị lỗi tạo ra khóa rất yếu. Khóa yếu này sau đó bị dùng nhầm làm khóa của một CA trung gian. Vì vậy, người ngoài có thể tính ngược ra khóa bí mật của CA.

Các con số chính

• Khóa được tạo theo đường cong elliptic P-384, lẽ ra là 48 byte ngẫu nhiên.
• Trên thực tế, 47 byte đầu đều bằng 0. Khóa chỉ còn khoảng 1 byte thông tin thật.
• Chỉ cần thử khoảng 256 lần là có thể tìm ra khóa.
• Có 8 khóa như vậy đã được công bố.

CA và chứng chỉ hoạt động thế nào?

Khi bạn bật HTTPS, máy chủ có một khóa bí mật và một khóa công khai. Một CA đáng tin sẽ ký xác nhận chứng chỉ của máy chủ. Trình duyệt tin chứng chỉ vì nó được ký bởi CA nằm trong danh sách tin cậy của thiết bị. Khóa bí mật của CA gốc thường được giữ trong một phần cứng đặc biệt, rất khó lấy ra. Nếu CA làm sai, trình duyệt có thể ngừng tin CA đó.

Vì sao chuyện này quan trọng?

Nếu kẻ xấu có khóa của CA, họ có thể tự tạo chứng chỉ giả cho bất kỳ trang web nào. Trình duyệt sẽ vẫn báo là chứng chỉ hợp lệ. Kẻ xấu có thể nghe lén hoặc sửa dữ liệu, ví dụ khi người dùng kết nối Wi-Fi công cộng ở sân bay, và không có cảnh báo nào hiện ra. Tác giả nói rằng về mặt lý thuyết, mọi trang Web đều có thể bị ảnh hưởng. Đây là điều không bao giờ được phép xảy ra.

Cần theo dõi điều gì?

• Các biện pháp mà eMudhra đưa ra để xử lý sự cố.
• Các CA có bị gỡ khỏi danh sách tin cậy của trình duyệt hay thiết bị hay không.
• Kết quả kiểm toán và những điều chỉnh về quy trình tạo khóa của các CA.