Ai đó đã đăng một ghi chú vào thứ Ba, ký tên "Wayne." “Chúng ta có vấn đề ở đây.” Điều đó có thể đáng cười, nếu Wayne không ký bằng một khóa riêng thuộc về @eMudhra – một cơ quan cấp chứng chỉ tại Ấn Độ. Khóa này nằm sau một trong tám chứng chỉ trung gian mà trình duyệt của bạn được thiết kế để tin tưởng. Nếu sở hữu một trong số đó, bạn có thể tạo ra một chứng chỉ hợp lệ cho bất kỳ trang web nào trên internet – bao gồm cả trang đăng nhập ngân hàng của bạn. Vậy Wayne làm sao có được nó? Hầu hết mọi người đều cho rằng đó là một vụ xâm nhập – có thể do nội gián hoặc cơ quan tình báo. Nhưng anh ta không đánh cắp gì cả. Các khóa này có thể đoán được. Một khóa P-384 bình thường chứa khoảng 384 bit ngẫu nhiên – đó là một con số dài 116 chữ số, và không ai có thể đoán được. Nhưng các khóa của @eMudhra chỉ có 3 đến 8 bit. Một khóa riêng là chính số 4. Một khóa khác là 56. Lớn nhất là 237. Một chiếc laptop có thể bẻ khóa cả tám khóa nhanh hơn bạn đọc xong câu này. Filippo Valsorda, người duy trì mã mã hóa cho Go, xếp nó vào danh mục “điều này không nên xảy ra”. Ben Cartwright-Cox từ https://t.co/Rg3ue0zZqK cho rằng mã ví dụ đã bị đưa vào sản xuất và không ai phát hiện ra. Do đó, các nhà phát triển trình duyệt đã hành động nhanh chóng. Đến sáng muộn thứ Ba, họ đã chặn tất cả tám chứng chỉ này, cùng với một số ứng dụng và ngôn ngữ lập trình lớn. Các nhật ký minh bạch chứng chỉ không cho thấy dấu hiệu nào cho thấy các khóa này đã bị lạm dụng. Vấn đề đã được giải quyết? Chưa hề. Trình duyệt là phần dễ xử lý nhất. Valsorda nói rằng việc dọn dẹp lần này sẽ lớn hơn #Heartbleed – lỗ hổng OpenSSL năm 2014 đã mất nhiều năm để khắc phục. Vấn đề nằm ở mọi thứ tự mang bản sao các gốc tin cậy riêng và không bao giờ cập nhật: Thiết bị IoT, container Docker, máy Linux bị lãng quên, các công cụ CLI cũ. Một số bản phân phối Linux vẫn chưa sẵn sàng bản vá. Edge trên Windows 10 vẫn đang kết nối với 12 máy chủ dễ bị tổn thương khi Ars công bố bài viết. Có một điểm hạn chế cho kẻ tấn công: Một chứng chỉ xấu chỉ hữu ích nếu bạn nằm giữa kết nối của ai đó, giải mã và mã hóa lại lưu lượng truy cập của họ. Điều này rất khó thực hiện trên internet công khai, nhưng dễ dàng hơn nhiều trên Wi-Fi quán cà phê, hoặc ở những quốc gia đã theo dõi lưu lượng VPN. Các ứng dụng như Signal và WireGuard thì an toàn, vì chúng không dựa vào TLS để đảm bảo quyền riêng tư. Điều khiến tôi băn khoăn là biểu tượng ổ khóa trong thanh địa chỉ không phải là lời hứa của một công ty duy nhất. Đó là hàng trăm công ty cùng cam kết một lúc – và nó chỉ mạnh bằng công ty yếu nhất. Vào thứ Ba, công ty yếu nhất đó đã dùng một khóa là số 4. Wayne đã cảnh báo mọi người. Người tiếp theo có thể sẽ không làm vậy. https://t.co/vSK9GTDYLa