Các hãng công nghệ chặn 8 chứng chỉ eMudhra do lỗi khóa

Các công ty công nghệ lớn đang chặn tám chứng chỉ số do tổ chức phát hành chứng chỉ eMudhra cấp sau một lỗi trong cách tạo khóa riêng của họ, theo báo cáo của Cointelegraph. Điểm yếu này khiến các khóa có thể bị đoán ra, cho phép ai đó giả mạo chứng chỉ HTTPS cho bất kỳ trang web nào.

Chứng chỉ HTTPS là thứ trình duyệt và hệ điều hành dùng để xác nhận rằng một trang web đúng là trang mà nó tuyên bố. Nếu kẻ tấn công có thể tạo chứng chỉ hợp lệ cho một tên miền mà họ không kiểm soát, họ có thể mạo danh trang đó và chặn hoặc thao túng lưu lượng mà người dùng tin rằng đã được mã hóa và xác thực.

Vì sao việc thu hồi quan trọng

Chặn các chứng chỉ là biện pháp khắc phục tiêu chuẩn: các nhà cung cấp trình duyệt và hệ điều hành duy trì kho tin cậy và danh sách thu hồi, đồng thời có thể từ chối chứng chỉ được cấp dưới một khóa đã bị xâm phạm hoặc có thể đoán được. Các chứng chỉ bị ảnh hưởng đang được thêm vào những cơ chế chặn đó, điều này giới hạn khoảng thời gian mà chứng chỉ giả có thể được chấp nhận.

Sự việc là lời nhắc rằng phần lớn bảo mật của web dựa vào một nhóm tương đối nhỏ các tổ chức phát hành chứng chỉ. Các sự cố cấp sai và lộ khóa trong quá khứ đã khiến các nhà cung cấp mất hoàn toàn tin tưởng vào CA, một bước có thể làm gián đoạn mọi trang web phụ thuộc vào tổ chức bị ảnh hưởng. Đối với người dùng tiền mã hóa, rủi ro thực tế cũng giống như với bất kỳ dịch vụ web nào: chứng chỉ giả có thể khiến một trang phishing hoặc man-in-the-middle trông hợp pháp, vì vậy việc xác minh địa chỉ qua các kênh độc lập vẫn hữu ích.