Apple chặn 8 chứng chỉ web bị lộ khoá, nhưng macOS có thể vẫn tin chúng

Tóm tắt nhanh

• Apple đã chặn tám chứng chỉ web trung gian bị lộ khoá có thể giúp kẻ gian giả mạo trang web; các nhà duyệt như Chrome, Firefox và Safari cũng đã chặn chúng.
• Các chứng chỉ do CA Ấn Độ eMudhra cấp gồm sáu TLS và hai code-signing, và các khoá riêng tư chỉ là số dưới 256 nên có thể dò được gần như ngay lập tức.
• Lỗi phát sinh từ một script tạo chứng chỉ dẫn tới khoá riêng tư rất yếu (1 byte, giá trị 0–255) nên kẻ tấn công dễ khôi phục khoá và ký chứng chỉ giả.
• Mozilla cho biết Apple bắt đầu áp các block từ ngày 19/10 theo thông tin của kỹ sư mật mã Dennis Jackson.
• Các trình duyệt chính có kiểm tra bổ sung (Certificate Transparency, revocation lists) nên nhiều phiên duyệt web thông thường có thể an toàn theo báo cáo của Google.
• Tuy nhiên Dennis Jackson cảnh báo macOS có thể tiếp tục tin các chứng chỉ đã bị xóa do hệ thống chứng chỉ của macOS và /usr/bin/curl không kiểm tra thông tin thu hồi đầy đủ.
• Bleeping Computer và MacRumors nói chưa có bằng chứng các chứng chỉ bị lợi dụng trong thực tế, nhưng mối đe doạ tồn tại cho phần mềm không cập nhật.
• Tom's Hardware nhấn mạnh phạm vi ảnh hưởng rộng: máy chủ, PC, điện thoại, router, IoT, công cụ dòng lệnh, thư viện ngôn ngữ và container đều cần cập nhật.
• Biện pháp đã thực hiện gồm thu hồi tám chứng chỉ, loại bỏ hoặc chặn các khoá bị ảnh hưởng và cập nhật danh sách chặn trên các nền tảng khác nhau.
• Người dùng Mac và quản trị viên được khuyến nghị kiểm tra cập nhật hệ điều hành và làm theo hướng dẫn kiểm tra/khắc phục của Dennis Jackson nếu dùng công cụ dòng lệnh bị ảnh hưởng.

Tóm tắt tự động bằng AI từ 3 nguồn, có thể có sai sót. Hãy kiểm chứng ở bài gốc.