"Quả bom bảo mật và quyền riêng tư" đối với 3,45 tỷ người dùng Chrome
Thông báo từ Nhóm bảo mật Google Chrome đã cho thấy những gì được mô tả là một "quả bom bảo mật và quyền riêng tư" đối với 3,45 tỷ người đang dùng trình duyệt Chrome.
Từ ngày 1/11 tới đây, trình duyệt web được sử dụng nhiều nhất thế giới sẽ không còn tin tưởng vào các chứng chỉ số do Entrust cấp, một trong những cơ quan cấp chứng chỉ được sử dụng nhiều nhất thế giới. Các chứng chỉ số bảo mật số của Entrust phổ biến đến mức nào? Khách hàng của họ đang bao gồm Chase Bank, Dell, Ernst & Young, Mastercard và Merrill Lynch, chưa kể đến các chính phủ trên toàn thế giới.
Google sẽ thu hồi chứng chỉ số do Entrust cấp
Thông báo vào ngày 27/6 vừa qua của Google không hề né tránh mà biện minh cho quyết định thu hồi chứng chỉ Transport Layer Security do Entrust và AffirmTrust cấp, được Entrust mua lại vào năm 2016, với lý do ưu tiên bảo mật và quyền riêng tư của người dùng Chrome, nêu rõ: "chúng tôi không muốn thỏa hiệp về những giá trị này". Đây là một thỏa thuận rất nghiêm túc, vì các cơ quan cấp chứng chỉ này đóng vai trò là nền tảng của các kết nối được mã hóa mà người dùng dựa vào giữa trình duyệt web và Internet.
Tham khảo Chính sách chương trình Chrome Root, được cập nhật lần cuối vào tháng 1, Google cho biết các chứng chỉ như vậy phải cung cấp giá trị cho người dùng Chrome "vượt quá rủi ro khi họ tiếp tục tham gia". Theo Nhóm bảo mật Chrome (Chrome Security Team), điều đó không còn đúng nữa, nhóm này giải thích rằng trong những năm gần đây, hành vi của Entrust trong việc phản hồi các sự cố được công khai đã không đáp ứng được kỳ vọng của họ.
Google tuyên bố, động thái này đã "làm xói mòn niềm tin vào năng lực, độ tin cậy và tính toàn vẹn của họ với tư cách là Chủ sở hữu CA (Nhà cung cấp chứng thực số) được công chúng tin tưởng".
Mozilla liệt kê lỗi Entrust
Google không phải là công ty trình duyệt duy nhất gặp vấn đề với Entrust, Mozilla đã lên tiếng rất nhiều trong những tháng gần đây về các sự cố với cơ quan cấp chứng chỉ. Thật vậy, chính những khiếu nại của nhà phát triển trình duyệt Firefox về các sự cố như vậy trong khoảng thời gian từ tháng 3 đến tháng 5 đã dẫn đến một phản hồi dài và chi tiết từ Entrust thông qua một báo cáo gửi đến cộng đồng Mozilla được công bố vào ngày 7/6.
Trong phần tóm tắt báo cáo, Entrust - cơ quan cấp chứng chỉ trong hơn 2 thập kỷ, thừa nhận rằng các sự cố là "không cần thiết và dựa trên những sai lầm hoặc phán đoán sai lầm của chính chúng tôi" và do đó, không đạt được các tiêu chuẩn mà tổ chức mong đợi ở chính mình. "Chúng tôi đã cân nhắc kỹ lưỡng các câu hỏi và bình luận của cộng đồng và ý kiến đóng góp này đã được phản ánh trong các kế hoạch của chúng tôi", báo cáo nêu rõ.
Các kế hoạch đó bao gồm việc bổ sung hỗ trợ tuân thủ chiến lược với diễn đàn CA/Browser, mở rộng với sự tham gia của Entrust. Quản trị tuân thủ sẽ được giải quyết thông qua "ban kiểm soát thay đổi liên chức năng" sẽ xem xét các chính sách và quyết định quan trọng, cũng như lấp đầy các khoảng trống trong quy trình kiểm soát thay đổi để giảm thiểu khả năng xảy ra lỗi. Entrust tuyên bố rằng các chính sách ứng phó và thu hồi sự cố cũng sẽ được xem xét và làm rõ.
Báo cáo được công bố vào ngày 7/6 kết luận rằng: “Chúng tôi đã xác định được các nguồn lực cần thiết và có sự hỗ trợ ở cấp cao nhất trong tổ chức để đảm bảo trách nhiệm giải trình và thực hiện các kế hoạch này”.
Phản hồi của Entrust đối với Diễn đàn CA/Browser và Google
Trong bài đăng vào ngày 21/6 trên Diễn đàn Certification Authority Browser, chủ tịch giải pháp bảo mật kỹ thuật số của Entrust, Bhagwat Swaroop, tuyên bố rằng, một số sự cố gần đây "không được báo cáo và truyền đạt theo cách phù hợp với diễn đàn CA/B" và ông nói thêm rằng "Lập trường ban đầu của chúng tôi là không thu hồi các chứng chỉ bị ảnh hưởng là không đúng".
Swaroop tiếp tục tuyên bố rằng không có "sai sót" nào là chủ ý hoặc được thực hiện với mục đích xấu: "Là một CA toàn cầu, chúng tôi phải đi trên dây trong việc cân bằng các yêu cầu của chương trình gốc và nhu cầu của người đăng ký, đặc biệt là đối với các cơ sở hạ tầng trọng yếu. Trong một số trường hợp, chúng tôi đã không đạt được sự cân bằng phù hợp".
Swaroop hứa rằng, Entrust cam kết thực hiện những thay đổi lâu dài, cả về mặt tổ chức và văn hóa, để bắt đầu lấy lại lòng tin của các chương trình gốc và cộng đồng.
Entrust thất vọng với quyết định về chương trình Root của Google Chrome
Có vẻ như cam kết này đã đến quá muộn đối với Google. Một phát ngôn viên của Entrust đã nói rằng "Quyết định của Chương trình Chrome Root khiến chúng tôi thất vọng với tư cách là thành viên lâu năm của cộng đồng Diễn đàn CA/B. Chúng tôi cam kết với hoạt động kinh doanh chứng chỉ TLS (bảo mật lớp truyền tải) công khai và đang xây dựng kế hoạch để cung cấp tính liên tục cho khách hàng của mình".
Người phát ngôn của Entrust cũng xác nhận rằng quyết định của Chương trình Chrome Root không ảnh hưởng đến Chứng chỉ Verified Mark Certificates (chứng chỉ kỹ thuật số xác thực tổ chức), cũng như việc ký mã và ký kỹ thuật số, hoặc các dịch vụ cung cấp chứng chỉ riêng tư.
Lưu ý đặc biệt quan trọng
Trong khi các chứng chỉ xác thực máy chủ TLS của Entrust và AffirmTrust được ký vào hoặc trước ngày 31/10/2023 sẽ tiếp tục có hiệu lực cho đến ngày hết hạn, thì kể từ ngày 1/11/2024, với Chrome 127 trở lên trên các nền tảng Android, ChromeOS, Linux, macOS và Windows sẽ không còn được tin cậy nữa. Người dùng sẽ thấy hộp thoại "kết nối không riêng tư" khi cố gắng kết nối với bất kỳ trang web nào bằng chứng chỉ bị chặn, cảnh báo rằng trang web đó có thể đang cố gắng đánh cắp thông tin cá nhân hoặc tài chính.
Google đã khuyến nghị rằng, các nhà điều hành trang web nên chuyển sang một Chủ sở hữu CA khác càng sớm càng tốt. Mặc dù Google thừa nhận tác động của việc chặn chứng chỉ có thể bị trì hoãn bởi các nhà điều hành cài đặt chứng chỉ Entrust TLS mới trước thời hạn ngày 1/11, nhưng họ cảnh báo rằng "các nhà điều hành trang web chắc chắn sẽ cần thu thập và cài đặt chứng chỉ TLS mới từ một trong nhiều CA khác có trong Chrome Root Store".
Cần lưu ý rằng, theo Google, người dùng vẫn có thể cài đặt tin cậy thủ công các chứng chỉ gốc để duy trì chức năng ngay cả sau ngày hết hạn là 31/10. Google tuyên bố: "Nếu người dùng Chrome hoặc doanh nghiệp tin cậy bất kỳ chứng chỉ nào trên trên nền tảng và phiên bản Chrome dựa trên Chrome Root Store, ví dụ, khi sự tin cậy rõ ràng được truyền đạt thông qua đối tượng chính sách nhóm (Group Policy Object) trên Windows, các ràng buộc sẽ bị ghi đè và các chứng chỉ sẽ hoạt động như hiện tại.
