Microsoft phát hành bản vá khẩn cấp sau sự cố lộ khóa bí mật eMudhra

• Sự cố nghiêm trọng: Tám khóa bí mật (private keys) của cơ quan cấp chứng chỉ (CA) eMudhra bị lộ, tạo điều kiện cho kẻ tấn công giả mạo chứng chỉ số.
• Phạm vi ảnh hưởng: Các chứng chỉ bị ảnh hưởng bao gồm 6 khóa TLS và 2 khóa ký mã (code signing), đe dọa tính toàn vẹn của kết nối mạng và phần mềm.
• Hành động của Microsoft: Phát hành bản cập nhật out-of-band vào ngày 26/10 để loại bỏ 7 chứng chỉ khỏi danh sách tin cậy của Windows và Edge.
• Khuyến nghị: Quản trị viên cần kiểm tra hệ thống, cập nhật danh sách chứng chỉ bị từ chối và rà soát các máy ảo Azure bị ảnh hưởng.

Các chuyên gia an ninh mạng vừa ghi nhận một sự cố bảo mật nghiêm trọng liên quan đến cơ quan cấp chứng chỉ eMudhra. Việc lộ tám khóa bí mật (private keys) của các CA trung gian đã buộc Microsoft phải tung ra các bản cập nhật Windows khẩn cấp (out-of-band) nhằm ngăn chặn khả năng kẻ tấn công lợi dụng để giả mạo chứng chỉ tin cậy hoặc ký tên vào các tệp tin độc hại.

Phân tích kỹ thuật về sự cố lộ khóa eMudhra

Theo các báo cáo kỹ thuật, vấn đề nằm ở hệ thống phân cấp chứng chỉ của eMudhra chứ không phải từ hạ tầng của Microsoft. Tuy nhiên, do Windows dựa vào danh sách tin cậy (Certificate Trust List - CTL) để xác thực các thực thể, việc các khóa này bị lộ đồng nghĩa với việc kẻ tấn công có thể tạo ra các chứng chỉ giả mạo trông giống như được cấp bởi một tổ chức uy tín.

Tác động của các khóa bị xâm phạm

Sự cố này ảnh hưởng đến hai loại chứng chỉ quan trọng, gây ra những rủi ro khác nhau cho hệ thống:

• Chứng chỉ TLS (Transport Layer Security): Sáu khóa bị lộ liên quan đến giao thức TLS, cho phép kẻ tấn công thực hiện các cuộc tấn công Man-in-the-Middle (MitM) để chặn bắt hoặc thay đổi dữ liệu truyền tải giữa người dùng và dịch vụ web.
• Chứng chỉ ký mã (Code Signing): Hai khóa còn lại liên quan đến việc xác thực nguồn gốc phần mềm. Nếu bị lạm dụng, kẻ tấn công có thể ký tên vào mã độc, khiến hệ điều hành nhận diện đó là phần mềm hợp lệ từ nhà phát hành tin cậy, từ đó vượt qua các cơ chế bảo vệ như Windows Defender SmartScreen.

Cần lưu ý rằng đây là các kịch bản tấn công tiềm năng dựa trên việc lộ khóa. Hiện tại chưa có bằng chứng xác thực về việc các cuộc tấn công quy mô lớn đã diễn ra, nhưng rủi ro là cực kỳ cao đối với các hệ thống không được cập nhật kịp thời.

Chi tiết các biện pháp ứng phó từ Microsoft

Microsoft đã thực hiện một loạt các bước can thiệp để cô lập các chứng chỉ bị ảnh hưởng. Vào ngày 20/10, hãng đã cập nhật danh sách Windows Disallowed Certificate Trust List để chặn các CA bị ảnh hưởng. Tiếp đó, ngày 26/10, một bản cập nhật khẩn cấp đã được phát hành để loại bỏ 7 chứng chỉ khỏi danh sách tin cậy của Windows.

Đối với trình duyệt Microsoft Edge và WebView2, Microsoft đã triển khai cập nhật thông qua cơ chế CRLSet. Đây là một thành phần được cập nhật tự động mà không yêu cầu người dùng phải nâng cấp phiên bản trình duyệt, đảm bảo tính bảo mật tức thời cho người dùng cuối.

Hướng dẫn thực thi bảo mật cho quản trị viên

⚠️ Cảnh báo quan trọng: Quản trị viên tuyệt đối không được khôi phục thủ công các chứng chỉ đã bị loại bỏ nếu không đánh giá kỹ lưỡng rủi ro. Việc khôi phục có thể khiến hệ thống trở nên dễ bị tổn thương trước các cuộc tấn công giả mạo chứng chỉ.

Để đảm bảo an toàn, các tổ chức cần thực hiện các bước sau:

• Cập nhật hệ thống: Đảm bảo tất cả các máy trạm và máy chủ Windows đều nhận được các bản cập nhật chứng chỉ mới nhất thông qua Windows Update hoặc WSUS.
• Kiểm tra máy ảo Azure: Đối với các máy ảo Azure hoặc Virtual Machine Scale Sets, hãy rà soát và cập nhật các image hệ thống thông qua Azure Marketplace.
• Rà soát hạ tầng nội bộ: Nếu tổ chức của bạn sử dụng hạ tầng PKI nội bộ, hãy kiểm tra xem có bất kỳ chuỗi chứng chỉ nào phụ thuộc vào 7 chứng chỉ đã bị loại bỏ hay không và thay thế chúng bằng các chứng chỉ mới.
• Giám sát: Theo dõi các thông báo từ Microsoft Trusted Root Program để nắm bắt các thay đổi về danh sách chứng chỉ tin cậy.

Đối với các hệ thống bị cô lập (disconnected systems), quản trị viên cần chủ động phân phối danh sách chứng chỉ bị từ chối thông qua các chính sách quản lý tập trung (GPO hoặc giải pháp quản lý cấu hình) để đảm bảo tính đồng bộ và an toàn cho toàn bộ mạng lưới doanh nghiệp.