Cập nhật 2 - eMudhra của Ấn Độ rút khỏi mảng bảo mật trang web toàn cầu do lỗ hổng an ninh, gây ra cảnh báo trên toàn thế giới

Thêm trích dẫn và chi tiết vào toàn văn

Abhirami G

Reuters, ngày 22 tháng 10 - Công ty an ninh số eMudhra (EMUD.NS) đang rút khỏi hoạt động phát hành chứng chỉ số cho các trang web toàn cầu, bao gồm cả cổng thông tin thuế của Ấn Độ. Trước đó, các nhà sản xuất trình duyệt chính đã chặn các chứng chỉ này do phát hiện lỗ hổng bảo mật, lỗ hổng này từng gây lo ngại về an ninh mạng trên toàn cầu.

Vào thứ năm, công ty đã công bố quyết định này, sau khi các tập đoàn công nghệ lớn như Google GOOGL.O, Apple AAPL.O và Microsoft MSFT.O đã ngừng tin cậy các chứng chỉ SSL/TLS của hãng — những chứng chỉ dùng để mã hóa dữ liệu truyền giữa người dùng và website nhằm chống hacker đánh cắp.

Các lỗ hổng này được phát hiện vào cuối tuần trước khi một nhà nghiên cứu an ninh mạng độc lập phát hiện một số chứng chỉ quan trọng của eMudhra có thể bị tấn công.

Khách hàng của EMudhra rất đa dạng, từ ông lớn IT Infosys (INFY.NS) và TCS (TCS.NS) đến các cơ quan chính phủ. Các chứng chỉ của họ bảo vệ nhiều website trọng yếu bao gồm cả cổng thông tin thuế thu nhập của Ấn Độ.

“Chứng chỉ của eMudhra được quốc tế công nhận, và những lỗ hổng như vậy đã tạo ra một cuộc khủng hoảng niềm tin trong cộng đồng an ninh mạng toàn cầu,” ông Mredul Sarda, nhà sáng lập công ty an ninh mạng Causal Security có trụ sở tại San Francisco, cho biết.

Theo eMudhra, lỗ hổng này không được phát hiện trong vòng 18 tháng qua và đã vượt qua hai lần kiểm toán.

Đồng sáng lập Kaushik Srinivasan nói với Reuters rằng lỗ hổng bắt nguồn từ tám khóa mã hóa do eMudhra tạo ra vào tháng 4 năm ngoái, các khóa này đã bị phần mềm của hãng tạo ngắn lại một cách nhầm lẫn, dẫn tới giảm mạnh mức độ an toàn.

Khóa mã hóa là một chuỗi ký tự dài, được dùng để mã hóa và giải mã dữ liệu qua các thuật toán. Nhưng khóa của eMudhra lại quá ngắn nên dễ bị phá vỡ hơn.

“Chỉ cần một tổ chức cấp chứng chỉ bị tấn công thì kẻ xấu có thể giả mạo bất kỳ website nào,” nhà tư vấn độc lập, nghiên cứu viên cao cấp thỉnh giảng khoa Nghiên cứu Chiến tranh, King's College London Lukasz Olejnik nhận định.

Dù các trình duyệt đã nhanh chóng chặn các chứng chỉ bị rò rỉ, nhưng các thiết bị kết nối cập nhật chậm vẫn còn nguy cơ. “Hàng triệu thiết bị cũ có thể vẫn gặp rủi ro trong nhiều năm hoặc mãi mãi, vì chúng vẫn tin tưởng các chứng chỉ đó,” ông Olejnik nói.

Đội phản ứng khẩn cấp máy tính của Ấn Độ cho biết vào thứ tư rằng một số chứng chỉ trung gian của eMudhra đã bị tiết lộ.

eMudhra cho biết đã thu hồi tám chứng chỉ này, nhưng khẳng định cơ sở hạ tầng của hãng không bị ảnh hưởng , và không có dữ liệu nào bị rò rỉ.

Hãng phát biểu rằng sự chú ý trên mạng xã hội đã khiến hoạt động này — vốn chỉ chiếm 1% doanh thu của hãng — bị soi xét một cách quá mức.

Phản ứng của các nhà đầu tư rất mạnh mẽ, trong hai ngày kể từ khi vụ việc bị tiết lộ, giá cổ phiếu eMudhra đã giảm 40%.

(Để thuận tiện cho người không sử dụng tiếng Anh, Reuters chuyển ngữ tự động bản tin sang một số ngôn ngữ khác. Do dịch tự động có thể xảy ra lỗi hoặc chưa bao quát đầy đủ ngữ cảnh cần thiết, Reuters không bảo đảm tính chính xác của bản dịch này và chỉ cung cấp nhằm thuận tiện cho bạn đọc. Reuters không chịu trách nhiệm đối với bất kỳ thiệt hại hay mất mát nào do sử dụng chức năng dịch tự động gây ra.)