eMudhra rút khỏi kinh doanh chứng chỉ SSL toàn cầu sau sự cố lộ khóa CA trung gian

eMudhra, tổ chức cấp chứng chỉ số (CA) của Ấn Độ, thông báo sẽ ngừng kinh doanh chứng chỉ SSL/TLS trên phạm vi toàn cầu. Hội đồng quản trị của hãng ra quyết định này ngày 22/10/2026, chỉ 5 ngày sau khi một nhà nghiên cứu báo cáo đã khôi phục được khóa riêng (private key) của 8 chứng chỉ CA trung gian do eMudhra vận hành.

Chuyện gì đã xảy ra?

Ngày 17/10/2026, nhà nghiên cứu gửi báo cáo tới Apple, Google, Microsoft, Mozilla và eMudhra. Lẽ ra mỗi khóa riêng phải là một số ngẫu nhiên cực lớn, nhưng cả 8 khóa đều có giá trị nhỏ hơn 256. Nói cách khác, bất kỳ ai cũng có thể tính ra các khóa này gần như ngay lập tức.

Trong 8 chứng chỉ trung gian bị lộ khóa, 6 chứng chỉ dùng để cấp chứng chỉ cho website (TLS). Chrome và Firefox đã chặn 6 chứng chỉ trung gian này chỉ trong vài giờ. Theo Google, trước thời điểm chặn chưa có chứng chỉ website nào từ các CA trung gian đó xuất hiện trong nhật ký minh bạch chứng chỉ (Certificate Transparency – CT), nên chúng không thể bị lợi dụng để tấn công Chrome hay các phần mềm bắt buộc kiểm tra CT. eMudhra khẳng định chưa từng dùng 8 chứng chỉ này để cấp cho website hay người dùng, và hệ thống của hãng không bị xâm nhập.

Gốc emSign ECC Root CA - G3 bị loại khỏi trình duyệt

• Mozilla quyết định ngừng tin cậy gốc emSign ECC Root CA - G3 trên Firefox từ ngày 20/10.
• Chrome cũng sẽ ngừng tin cậy gốc này; thay đổi dự kiến đến tay người dùng vào sáng 27/10/2026 (giờ Thái Bình Dương, tức khoảng tối 27/10 giờ Việt Nam).

Khi một chứng chỉ gốc bị gỡ khỏi trình duyệt, mọi chứng chỉ hợp lệ được cấp bên dưới nó cũng mất hiệu lực theo. Theo thống kê của Chrome từ nhật ký CT, tính đến 21/10 có khoảng 30.800 chứng chỉ còn hạn chạy dưới gốc này. Hơn 99,9% trong số đó được cấp qua InCommon, dịch vụ chứng chỉ do Internet2 xây dựng cho khối giáo dục đại học Mỹ, vốn đã chuyển sang nền tảng CertiNext của eMudhra từ tháng 4 đến tháng 7 năm nay. Google yêu cầu các website đang dùng chứng chỉ dưới gốc này phải lập tức mua và cài chứng chỉ mới từ một hệ thống CA khác có trong kho gốc của Chrome.

eMudhra nói gì?

• Hãng sẽ thay chứng chỉ cho khách bị ảnh hưởng bằng chứng chỉ miễn phí từ các đối tác, nhưng chưa nêu tên đối tác và chưa đưa ra ngày rút hẳn khỏi thị trường.
• Trong thời gian chuyển đổi, các gốc RSA thế hệ G1 vẫn tiếp tục phục vụ khách hàng. Tuy nhiên Chrome vẫn đang cân nhắc có giữ các chứng chỉ CA còn lại của eMudhra trong kho gốc hay không.
• Dịch vụ thu hồi và tra cứu trạng thái chứng chỉ vẫn duy trì cho đến khi mọi chứng chỉ SSL/TLS hãng đã cấp hết hạn hoặc được thay thế. Các mảng khác như chữ ký số, eSign và nền tảng CertiNext vẫn hoạt động bình thường.
• Mảng SSL/TLS toàn cầu chỉ chiếm khoảng 1% doanh thu của eMudhra. Hãng cho rằng các quy định về chủ quyền dữ liệu và tuân thủ khiến mảng này tốn kém, trong khi nhiều nhà cung cấp lớn phát chứng chỉ miễn phí. Hãng cũng than phiền sự cố lan truyền trên mạng xã hội đã khiến mảng này bị soi xét quá mức so với tầm quan trọng của nó.

Gốc RSA G1 cũng đang bị đặt dấu hỏi

Ngày 20/10, Mozilla cho biết tạm thời chưa gỡ gốc emSign Root CA - G1. Nhưng trong báo cáo lỗi công khai của Mozilla, nhà nghiên cứu chỉ ra rằng danh sách thu hồi chứng chỉ (CRL) mà eMudhra phát hành ngày 14/10 cho CA emSign Root TLS CA - G1 có chữ ký không khớp với khóa của chính CA đó. Một người tham gia thảo luận ngày 22/10 nhận định danh sách này có vẻ đã được ký nhầm bằng khóa của chứng chỉ OCSP, tức là ký sai khóa chứ chưa phải thêm một khóa yếu nữa.

Ngày 21/10, Chrome đăng 12 câu hỏi vào báo cáo lỗi, trong đó hỏi khóa nào đã ký danh sách trên, eMudhra có giữ nhiều cặp khóa cho cùng một CA hay gốc không, và bao giờ khách hàng chuyển đổi xong trước mốc 27/10.

Đây không phải lần đầu. Năm 2025, eMudhra từng phát hành CRL không hợp lệ cho 6 trong số các CA trung gian này. Ngày 19/10 vừa qua, hãng thừa nhận với Mozilla rằng khi đó các danh sách đã được "ký lại bằng khóa lỗi", chính là các khóa yếu bị phát hiện tháng này. Chrome đánh giá việc công bố muộn này "đặt ra lo ngại nghiêm trọng" về tính minh bạch và cách xử lý sự cố của eMudhra. Tính đến 13:31 UTC ngày 22/10, eMudhra chưa trả lời công khai câu hỏi nào của Chrome.

Khách hàng đang dùng chứng chỉ eMudhra cần làm gì?

Nếu website, API hoặc hệ thống nội bộ của bạn đang dùng chứng chỉ SSL do eMudhra (emSign) cấp, kể cả qua đại lý hay qua InCommon:

1. Kiểm tra ngay chuỗi chứng chỉ. Nếu chuỗi đi lên emSign ECC Root CA - G3, website sẽ báo lỗi bảo mật trên Firefox từ bây giờ và trên Chrome từ khoảng 27/10. Bạn có thể dùng công cụ kiểm tra SSL của MuaSSL để xem chuỗi và CA gốc.
2. Không nên chỉ chuyển sang gốc RSA G1 của eMudhra. Gốc này đang bị Chrome xem xét, có thể cũng bị loại trong thời gian tới.
3. Nếu dùng ACME để tự gia hạn, lưu ý client ACME thông thường sẽ không tự thay chứng chỉ khi chưa đến kỳ gia hạn (trừ khi hỗ trợ ARI), và đổi sang CA khác thường phải sửa cấu hình client. Hãy chủ động cấp lại thay vì chờ.
4. Chuyển sang một CA có lịch sử vận hành ổn định như Sectigo, DigiCert, GlobalSign hay SSL.com, và cài lại chứng chỉ trước mốc 27/10.

MuaSSL hỗ trợ chuyển đổi nhanh

MuaSSL.com là đối tác phân phối chứng chỉ SSL chính hãng từ các CA lớn, đủ loại DV, OV, EV, Wildcard và đa tên miền. Chúng tôi hỗ trợ:

• Cấp chứng chỉ DV trong vài phút để thay thế gấp trước hạn chót của Chrome.
• Hướng dẫn và cài đặt hộ trên cPanel, DirectAdmin, Plesk, IIS, Nginx, Apache, Tomcat (JKS/PFX), Zimbra… hoặc tự động bằng lệnh muassl.
• Kiểm tra chuỗi chứng chỉ sau khi cài để bảo đảm trình duyệt tin cậy đầy đủ.

Liên hệ đội ngũ MuaSSL qua hotline hoặc trang liên hệ để được tư vấn chọn chứng chỉ phù hợp và chuyển đổi trong ngày.

Theo The Hacker News: eMudhra to Exit Global SSL/TLS Business (22/10/2026).