eMudhra chặn 8 chứng chỉ TLS lỗi, bot giao dịch tiền mã hóa vẫn có thể bị lộ, CertiK cảnh báo

Giới bảo mật cảnh báo rằng các bot giao dịch tiền mã hóa và ứng dụng sàn giao dịch vẫn có thể bị ảnh hưởng bởi lỗ hổng trong chứng chỉ bảo mật do cơ quan cấp chứng chỉ Ấn Độ eMudhra phát hành, dù Google, Apple(AAPL) và Microsoft(MSFT) đã chặn các chứng chỉ có vấn đề. Theo cảnh báo, biện pháp chặn ở cấp trình duyệt có thể không đủ để bảo vệ những phần mềm hoạt động bên ngoài trình duyệt.

Peiyu Wang, Giám đốc cấp cao bảo mật tài sản số tại CertiK, công ty bảo mật blockchain, cho biết điều này với Cointelegraph. Các hãng công nghệ lớn đã chặn 8 chứng chỉ có lỗ hổng do eMudhra cấp trước ngày 20. Theo Peiyu Wang, riêng biện pháp này có thể chưa bảo vệ được các ứng dụng tiền mã hóa đang sử dụng hệ thống bảo mật riêng của mình.

Peiyu Wang nói: "Việc các trình duyệt lớn chặn chứng chỉ giúp giảm đáng kể rủi ro cho những khách hàng tiếp nhận và áp dụng biện pháp này." Ông bổ sung: "Một số ứng dụng nằm ngoài hệ sinh thái trình duyệt không bắt buộc áp dụng Certificate Transparency (minh bạch chứng chỉ), hoặc không được hưởng cùng cơ chế bảo vệ khi chứng chỉ bị thu hồi." Certificate Transparency là hệ thống đối chiếu các chứng chỉ đã cấp với hồ sơ công khai để xác minh. Điều này đồng nghĩa những phần mềm hoạt động độc lập với trình duyệt, như bot giao dịch hay ứng dụng sàn giao dịch, có thể nằm ngoài phạm vi bảo vệ của biện pháp chặn.

Peiyu Wang nhấn mạnh rằng các dịch vụ tiền mã hóa không vốn dĩ dễ bị ảnh hưởng bởi lỗ hổng này hơn các ngành khác. Tuy nhiên, ông giải thích rằng nếu kẻ tấn công lợi dụng chứng chỉ bị xâm phạm, chúng có thể giả mạo kết nối HTTPS mà sàn giao dịch, giao diện ví và API đang sử dụng. HTTPS là phương thức mã hóa liên lạc giữa người dùng và dịch vụ, đồng thời xác thực tính xác thực của bên kết nối.

Hai rủi ro cụ thể mà Peiyu Wang chỉ ra gồm: việc đánh tráo địa chỉ nạp tiền và việc dụ người dùng phê duyệt các giao dịch độc hại. Để các kiểu tấn công này xảy ra, cần có công đoạn chặn hoặc chuyển hướng lưu lượng internet của người dùng. Peiyu Wang cũng nói rõ rằng chỉ riêng việc khóa của cơ quan cấp chứng chỉ bị xâm phạm sẽ không làm lộ khóa riêng của ví.

Vụ việc bắt nguồn từ việc 8 chứng chỉ TLS do eMudhra cấp bị phát hiện có khóa riêng yếu, kéo theo rủi ro bị giả mạo website. Khóa riêng là thông tin cốt lõi đảm bảo độ tin cậy của chữ ký trong hệ thống chữ ký điện tử dựa trên chứng chỉ số. Sau đó, CoinDesk đưa tin ngày 21 rằng 8 khóa bí mật của eMudhra đã bị xâm phạm, và các hãng trình duyệt cùng công ty phần mềm đang gấp rút khắc phục.

CertiK đánh giá rằng biện pháp chặn của các hãng công nghệ lớn đã giảm rủi ro truy cập qua trình duyệt. Peiyu Wang kêu gọi các đơn vị vận hành dịch vụ tiền mã hóa cập nhật phần mềm và kho lưu trữ chứng chỉ tin cậy lên phiên bản mới nhất, đồng thời kiểm tra xem ứng dụng của mình có thực sự từ chối các chứng chỉ bị ảnh hưởng hay không.