eMudhra và lỗ hổng khóa yếu: dấu vết khai thác và tiến độ vá lỗi

Sự cố khóa yếu chưa từng có

Ngày 19/10/2026, giới bảo mật biết đến tám khóa yếu đến khó tin của eMudhra. Ở vị trí lẽ ra phải chọn một số có 115 chữ số cho "ổ khóa tổ hợp" bảo vệ Internet, eMudhra lại chọn số 4. Bảy khóa còn lại cũng yếu tương tự: 56, 66, 115, 155, 156, 230 và 237. Hôm sau, nhóm nghiên cứu công bố bài viết về hành động ứng phó ngay lập tức và hướng dẫn khách hàng tự bảo vệ.

Điều khiến sự cố này khác biệt so với các vụ CA bị xâm phạm trước đây như DigiNotar, TÜRKTRUST hay TrustWave: khóa riêng của chứng chỉ trung gian bị ảnh hưởng có thể được khôi phục gần như tức thì từ chính các chứng chỉ công khai. Bất kỳ ai cũng có thể tự phục hồi khóa ký và tạo chứng chỉ cho bất kỳ tên miền nào mà máy khách chưa vá, không bật Certificate Transparency, vẫn chấp nhận.

Phía eMudhra

eMudhra tuyên bố rời khỏi mảng CA công cộng và cho rằng nguyên nhân là lỗi trong script tạo khóa, nhưng chưa công bố script này. Họ đã ký một danh sách thu hồi chứng chỉ (CRL) bằng khóa có thể được tạo đúng cách, rồi sau đó sửa lại để ký bằng khóa yếu. Vẫn còn nhiều câu hỏi cần làm rõ, trong đó có vai trò của các đơn vị kiểm toán và các bên ký chéo.

Cloudflare vá lỗi thế nào

Ưu tiên hàng đầu vẫn là tác động bảo mật với Cloudflare, khách hàng và toàn Internet. Tính đến thời điểm viết bài, toàn bộ hệ thống quan trọng của Cloudflare đã được vá; một số ít phiếu sự cố tác động thấp đang được xử lý.

Việc vá bắt đầu ngay từ 19/10 với các hệ thống tác động cao, gồm proxy hướng tới origin của khách hàng dùng Pingora – nơi phụ trách phần lớn kết nối ra ngoài. Các hệ thống này được vá trong vài giờ để từ chối khóa eMudhra yếu. Song song, Cloudflare dùng phân tích mã nguồn có AI hỗ trợ để tìm mọi hệ thống còn tin tưởng các khóa này và hoàn tất phân tích trong bốn giờ.

Dấu vết khai thác trên mạng lưới

Để theo dõi mỗi khi máy chủ khách hàng hoặc kẻ tấn công trình chứng chỉ do khóa yếu eMudhra ký, Cloudflare bổ sung ghi log vào Pingora. Việc ghi log hoàn tất ngày 21/10.

Một tuần sau, Cloudflare ghi nhận khoảng 22.000 lần bắt tay với khóa eMudhra yếu. Hai phần ba là truy cập các trang thử nghiệm như emudhra.we-have-a-problem.com. Gần như toàn bộ một phần ba còn lại nhắm tới các origin tự tạo chứng chỉ bằng khóa trung gian yếu. Mọi bắt tay có kiểm tra chứng chỉ đều bị từ chối vì hệ thống đã được vá.

Khoảng 160 lần bắt tay đáng chú ý: tên thay thế chủ thể (SAN) của chứng chỉ lại ghi tên miền của tổ chức khác – dấu hiệu đáng lo ngại cần tiếp tục theo dõi.

Nguồn: Cloudflare Blog