Khóa riêng của tám chứng chỉ CA trung gian thuộc eMudhra vừa bị xác nhận đã lộ. Các chứng chỉ này được liên kết với những root mà Mozilla, Microsoft, Apple và Chrome tin cậy. Một nhà nghiên cứu tên Wayne đã chứng minh điều này bằng cách dùng chính các khóa đó để ký một thông điệp rồi báo cho các chương trình root vào ngày 17/10.

Vì sao đây là chuyện nghiêm trọng?

Hãy hình dung CA trung gian như một nhân viên được cấp con dấu của ngân hàng để xác nhận danh tính khách hàng. Nếu kẻ xấu lấy được con dấu đó, chúng có thể giả mạo bất kỳ trang web hay dịch vụ nào, từ ngân hàng đến email, mà trình duyệt vẫn hiện ổ khóa an toàn.

Cách các hãng phản ứng

Chrome và Firefox đã chặn các chứng chỉ này từ ngày 17/10, còn thiết bị Apple (AAPL) chặn từ ngày 19/10 thông qua các cơ chế như OneCRL, CRLite và CRLSets. eMudhra cũng đã thu hồi các chứng chỉ bị ảnh hưởng. Tuy nhiên nhiều phần mềm không kiểm tra thông tin thu hồi, nên cần cập nhật hệ thống.

Bạn nên làm gì?

Hãy cập nhật trình duyệt và hệ điều hành lên bản mới nhất. Người dùng nâng cao có thể kiểm tra bằng curl hoặc gỡ bỏ các root bị ảnh hưởng khỏi kho tin cậy, nhưng người dùng thông thường không nên tự làm. Đây là bài học quan trọng cho lĩnh vực công nghệ và an ninh mạng toàn cầu.