eMudhra thu hồi thêm 8 chứng chỉ CA sau sự cố lộ khóa bảo mật

Hãng bảo mật eMudhra vừa thông báo thu hồi thêm 8 chứng chỉ trung gian (Intermediate CA) sau khi phát hiện các vấn đề trong quy trình xử lý khóa bảo mật. Đáng chú ý, trước đó công ty từng khẳng định các chứng chỉ này không bị ảnh hưởng bởi sự cố lộ khóa xảy ra vào tháng 10.

Nguyên nhân gốc rễ bắt nguồn từ một kịch bản Python được đội ngũ vận hành PKI sử dụng để chuyển đổi khóa giữa các thiết bị Hardware Security Module (HSM) từ các nhà cung cấp khác nhau. Trong quá trình thực hiện, một dòng lệnh trong kịch bản đã vô tình làm sai lệch dữ liệu khóa, khiến các khóa RSA bị xử lý không đúng cách. Mặc dù các khóa này vẫn tạo ra chữ ký hợp lệ và vượt qua các đợt kiểm toán WebTrust, eMudhra thừa nhận họ không thể chứng minh được các khóa này đã được xử lý tuân thủ quy định nội bộ (CPS §6.2.6) về việc di chuyển khóa ra/vào HSM.

Trong số 8 chứng chỉ bị thu hồi lần này, có 6 chứng chỉ dành cho TLS (website) và 2 chứng chỉ dành cho ký mã (code signing). Công ty cho biết đã thực hiện chuyển đổi cho tất cả các khách hàng bị ảnh hưởng sang chứng chỉ mới. Dù không ghi nhận trường hợp nào bị lạm dụng, các chuyên gia bảo mật cảnh báo rằng bất kỳ ai sở hữu các khóa này đều có khả năng giả mạo website.

Sự cố này diễn ra trong bối cảnh eMudhra đang dần rút lui khỏi mảng kinh doanh TLS được tin cậy công khai. Các trình duyệt lớn như Microsoft, Chrome, Firefox và Apple cũng đã bắt đầu lộ trình loại bỏ sự tin cậy đối với các chứng chỉ gốc (root CA) của eMudhra. Người dùng và các tổ chức đang sử dụng chứng chỉ từ thương hiệu emSign được khuyến cáo kiểm tra danh sách thu hồi và cập nhật chứng chỉ mới để đảm bảo an toàn cho hệ thống.

Hiện tại, eMudhra đang phối hợp với đơn vị kiểm toán độc lập KPMG để rà soát toàn bộ hệ thống và dự kiến hoàn tất báo cáo vào đầu tháng 12/2026.

Nguồn tham khảo: The Hacker News