Một lỗi tạo khóa từ tháng 4/2025 vừa khiến nhà cung cấp chứng chỉ số eMudhra của Ấn Độ rơi vào khủng hoảng. Tám chứng chỉ CA trung gian của hãng dùng khóa riêng yếu đến mức có thể khôi phục trong chưa tới một giây. Các trình duyệt lớn đã chặn chúng, và ngày 22/10/2026, eMudhra thông báo rút khỏi mảng chứng chỉ SSL/TLS toàn cầu.

Chuyện gì đã xảy ra

Theo Help Net Security, một nhà nghiên cứu có tên Wayne phát hiện vấn đề ngày 17/10/2026 khi rà soát cơ sở dữ liệu CCADB. Người này báo cho Apple, Google, Microsoft, Mozilla và eMudhra. Kỹ sư mật mã Dennis Jackson của Mozilla công bố sự cố ngày 20/10.

Cả tám chứng chỉ dùng khóa riêng P-384. Một khóa đúng chuẩn phải là số ngẫu nhiên dài hơn 100 chữ số. Các khóa của eMudhra lại nhỏ hơn 256. Chỉ cần thử tối đa 256 giá trị là tìm ra. BleepingComputer cho biết một khóa được công bố trên GitHub có giá trị đúng bằng 4, ứng với chứng chỉ "EM OV TLS CA - G3C".

Tám chứng chỉ này thuộc một lô 24 CA trung gian tạo ngày 30/4/2025. Sáu chứng chỉ dùng để cấp chứng chỉ TLS cho website, hai chứng chỉ dùng cho ký mã. Cả tám được Sectigo ký chéo vào tháng 5/2025.

Nguyên nhân theo eMudhra

eMudhra cho biết một script lỗi trong buổi tạo khóa tháng 4/2025 đã sinh thêm một bộ khóa yếu. Nhãn của bộ khóa này giống bộ khóa đúng, nên nhân viên chọn nhầm khi chuẩn bị chứng chỉ. Hãng thừa nhận lỗi con người và cam kết rà soát lại mọi buổi tạo khóa.

Theo eMudhra, phần lớn CA trung gian bị ảnh hưởng chưa từng chạy trong môi trường thực tế và không cấp chứng chỉ cho khách hàng cuối. Chủ tịch V. Srinivasan nói các chứng chỉ bị thu hồi trong vòng 14 giờ kể từ khi phát hiện, và không có hạ tầng nào bị xâm nhập. Dù vậy, không ai chắc khóa có bị lợi dụng trong khoảng 17 tháng trước khi được phát hiện hay không.

Phản ứng của trình duyệt và hệ điều hành

  • Mozilla: chặn các chứng chỉ qua OneCRL ngày 17/10, không cần cập nhật hay khởi động lại trình duyệt. Ngày 20/10 phát hành Firefox 158.0.1 và bản ESR cho người dùng có cấu hình chặn bản cập nhật thu hồi. Mozilla cũng gỡ tin cậy chứng chỉ gốc của eMudhra đã ký các CA trung gian này.
  • Google Chrome: chặn sáu CA trung gian có quyền cấp chứng chỉ TLS ngay ngày 17/10. Google dự kiến gỡ tin cậy chứng chỉ gốc liên quan.
  • Apple và Microsoft: đã bổ sung biện pháp bảo vệ trong những ngày sau đó.
  • Go: phát hành 1.27.3 và 1.26.10 để xử lý vấn đề, theo dõi dưới mã CVE-2026-111943.
  • eMudhra: thu hồi các chứng chỉ và ngừng cấp mới từ root G3.

eMudhra ước tính khoảng 30.000 chứng chỉ của khách hàng phải thay. Theo Help Net Security, mảng SSL/TLS toàn cầu chỉ chiếm khoảng 1% doanh thu của hãng.

Rủi ro còn sót lại

Trình duyệt đã chặn nhanh. Vấn đề nằm ở những phần mềm không nhận danh sách thu hồi. BleepingComputer cảnh báo ứng dụng có kho chứng chỉ riêng, hoặc không kiểm tra thu hồi, có thể tiếp tục tin các CA trung gian này cho tới khi được cập nhật. Bài báo nêu ví dụ curl tích hợp sẵn trên macOS.

Nói đơn giản: kẻ có khóa CA có thể làm giả chứng chỉ cho bất kỳ tên miền nào. Nếu phần mềm phía client vẫn tin CA đó, kẻ tấn công có thể mạo danh máy chủ và đọc lén lưu lượng mã hóa.

Ảnh hưởng tới website và VPS ở Việt Nam

Chủ website

Phần lớn website Việt Nam dùng chứng chỉ miễn phí qua ACME hoặc chứng chỉ thương mại từ các CA quốc tế khác, nên ít khả năng bị ảnh hưởng trực tiếp. Tuy vậy, nên mất một phút kiểm tra trường Issuer của chứng chỉ đang dùng. Nếu thấy eMudhra, cần liên hệ nơi bán để thay chứng chỉ ngay.

openssl s_client -connect tenmien.vn:443 -servername tenmien.vn </dev/null 2>/dev/null | openssl x509 -noout -issuer -enddate

Quản trị VPS và nhà phát triển

Phía máy chủ cũng đóng vai client khi gọi API thanh toán, webhook hay dịch vụ bên ngoài. Vì vậy:

  1. Cập nhật hệ điều hành và gói chứng chỉ CA, ví dụ gói ca-certificates trên Debian, Ubuntu hoặc AlmaLinux.
  2. Cập nhật runtime có kho chứng chỉ riêng. Ứng dụng viết bằng Go nên được biên dịch lại với 1.27.3 hoặc 1.26.10.
  3. Kiểm tra container image cũ. Image không được build lại sẽ giữ kho CA cũ.
  4. Dùng trang kiểm tra do Mozilla duy trì tại emudhra.we-have-a-problem.com để xem hệ thống còn tin các chứng chỉ bị chặn không.

Góc nhìn của Canh Deal

Chọn chứng chỉ SSL không chỉ là chọn giá rẻ. Uy tín và quy trình vận hành của CA quyết định chứng chỉ của bạn có bị trình duyệt chặn bất ngờ hay không. Với website thông thường, chứng chỉ miễn phí tự động gia hạn qua ACME là đủ. Nếu mua chứng chỉ trả phí, hãy ưu tiên nhà cung cấp cho phép cấp lại nhanh khi CA gặp sự cố.

Nguồn tham khảo