Ổ khóa HTTPS vẫn có thể giả: ba tên miền quốc gia bị chiếm quyền

Ngày 6/10/2026, nhóm bảo mật Chrome của Google công bố rằng kẻ tấn công đã chiếm quyền hạ tầng quản lý ba miền quốc gia .gh, .sl và .as, sửa bản ghi DNS có thẩm quyền rồi lấy chứng chỉ HTTPS trái phép cho một số miền Google và các tổ chức khác; nhóm khẳng định: “These incidents did not involve a compromise of Google’s systems”. Chrome đã chặn các chứng chỉ được phát hiện, còn các tổ chức cấp chứng chỉ được yêu cầu thu hồi những chứng chỉ liên quan.

Trong bản tin ngày 8/10/2026, TechRadar ghi nhận chưa có số tổ chức bị ảnh hưởng được công bố. Với người truy cập, điểm đáng chú ý là một chứng chỉ được cấp sai người vẫn có thể được ký hợp lệ và khiến kết nối mạo danh trông như HTTPS thông thường, nếu kẻ tấn công cũng điều hướng được lưu lượng đến máy chủ của mình. Chứng chỉ trái phép trong vụ này không đồng nghĩa khóa ký của tổ chức cấp chứng chỉ đã bị đánh cắp.

Từ quyền sửa DNS đến chứng chỉ trái phép

.gh là miền quốc gia của Ghana, .sl của Sierra Leone và .as của Samoa thuộc Mỹ. Bên quản lý những không gian tên này nằm ở tầng cao hơn các tên miền đăng ký bên dưới, trong đó có những miền do Google sở hữu. Khi quyền kiểm soát ở tầng đó bị chiếm, kẻ tấn công có thể thay đổi câu trả lời DNS có thẩm quyền cho một số tên miền được chọn. Quyền ấy khác với quyền truy cập máy chủ, tài khoản hoặc hệ thống nội bộ của chủ tên miền.

Trước khi cấp chứng chỉ, tổ chức cấp chứng chỉ, gọi là CA, phải xác thực người yêu cầu có quyền kiểm soát tên miền. Phân tích của Ars Technica mô tả việc sửa DNS đã giúp kẻ tấn công vượt qua bước xác thực tự động cho những miền được chọn trong ba không gian tên. CA nhận được bằng chứng kiểm soát miền từ một hệ thống DNS đã bị thao túng, rồi cấp chứng chỉ có chữ ký hợp lệ cho người không được chủ miền cho phép. Vì vậy, điểm hỏng nằm ở dữ liệu dùng để xác thực quyền kiểm soát miền, không nhất thiết ở thao tác ký chứng chỉ của CA.

Chuỗi tin cậy đi từ cơ quan quản lý miền quốc gia đến bản ghi DNS, qua phép kiểm tra của CA và cuối cùng là trình duyệt. Trình duyệt nhìn thấy một chứng chỉ khớp tên miền và dẫn về CA được tin cậy; nó không thể tự biết ai đã nắm quyền điều khiển DNS vào lúc CA xác thực. Chứng chỉ đó cho phép mạo danh về mặt mật mã, nhưng để người dùng thực sự kết nối nhầm máy chủ, kẻ tấn công còn phải đưa lưu lượng của họ tới nơi mình kiểm soát. Các thông tin công bố không cho biết có bao nhiêu người đã gặp tình huống ấy.

Vì sao dấu hiệu HTTPS có thể gây hiểu lầm

Biểu tượng ổ khóa từng là cách quen thuộc để nhận biết kết nối HTTPS; Chrome hiện dùng biểu tượng điều khiển khác trên thanh địa chỉ. Dù giao diện thể hiện thế nào, HTTPS cho biết trình duyệt đã chấp nhận chứng chỉ và thiết lập đường truyền được mã hóa với máy chủ ở đầu bên kia. Nó không bảo đảm người đứng sau máy chủ ấy là chủ thể hợp pháp khi bước xác thực tên miền trước đó dựa trên DNS bị chiếm quyền.

Đó cũng là lý do chứng chỉ trong vụ việc được gọi là trái phép dù chúng có thể vượt qua phép kiểm tra chữ ký. Một chứng chỉ do CA thật ký không biến người xin cấp thành chủ sở hữu hợp pháp của tên miền. Nếu lưu lượng bị chuyển hướng, mã hóa vẫn bảo vệ đường truyền giữa trình duyệt và máy chủ mà nó kết nối, nhưng máy chủ đó có thể thuộc về kẻ mạo danh. Người dùng có thể nhìn thấy trạng thái kết nối được bảo vệ trong khi đang trao dữ liệu cho sai bên.

Phạm vi rủi ro cần được hiểu theo từng tên miền. Quyền kiểm soát tầng .gh, .sl và .as đặt các miền bên dưới vào tình thế có thể bị tác động; điều đó không có nghĩa mọi trang mang các đuôi này đều đã bị mạo danh hoặc được cấp chứng chỉ trái phép. Những chứng chỉ được nêu trong công bố liên quan đến một số miền Google và các tổ chức khác, chứ không phải toàn bộ hệ thống Google.

Chrome đã chặn được gì

Chrome trước hết dùng CRLSets để chặn chứng chỉ trái phép được phát hiện cho các miền Google. Sau bước xử lý ban đầu, dữ liệu Certificate Transparency cho thấy thêm những tổ chức có thể chịu ảnh hưởng, gồm các thương hiệu lớn và dịch vụ trực tuyến phổ biến; Chrome tiếp tục chặn các chứng chỉ đáng ngờ đã nhận diện. Việc phối hợp với CA nhằm thu hồi chứng chỉ để bảo vệ cả những ứng dụng không dùng Chrome. Chặn trong trình duyệt và thu hồi tại CA là hai biện pháp xử lý khác nhau.

Người dùng Chrome không cần thao tác riêng để nhận sự bảo vệ đối với những chứng chỉ trình duyệt đã chặn. Ranh giới của biện pháp này là khâu phát hiện: một tên miền hoặc chứng chỉ chưa được nhận diện sẽ không tự xuất hiện trong danh sách chặn chỉ vì nó nằm dưới một trong ba đuôi bị ảnh hưởng. Biện pháp riêng của Chrome cũng không bảo vệ chắc chắn người dùng trình duyệt hoặc ứng dụng khác. Vì thế, trạng thái chặn các chứng chỉ đã biết không thể được hiểu là mọi khả năng cấp sai đã bị loại bỏ.

Chủ tên miền còn phải theo dõi điều gì

Certificate Transparency, viết tắt là CT, ghi công khai các chứng chỉ được cấp và tạo dấu vết để chủ miền phát hiện chứng chỉ ngoài dự kiến. Việc theo dõi cần bao phủ cả danh mục miền, kể cả miền ít dùng hoặc được đăng ký theo khu vực. Riêng chủ miền dưới .gh, .sl và .as có lý do rà soát các mục CT gần đây: một mục lạ cho phép họ đối chiếu tên miền, CA và thời điểm cấp với những chứng chỉ mình đã cho phép. Nhật ký giúp phát hiện và điều tra, chứ không tự ngăn chứng chỉ được cấp.

Bản ghi CAA trong DNS cho phép chủ miền giới hạn CA nào được phép cấp chứng chỉ. Ràng buộc thêm tài khoản ACME và phương thức xác thực có thể thu hẹp quyền cấp tiếp sau khi miền đã được khôi phục. CAA không chặn được việc cấp chứng chỉ trong lúc kẻ tấn công vẫn sửa được DNS, vì họ có thể can thiệp cả dữ liệu mà CA dùng để kiểm tra. Giá trị của chính sách hạn chế xuất hiện rõ sau khi quyền kiểm soát DNS trở lại: nó có thể ngăn việc tận dụng kết quả xác thực cũ còn được CA lưu để xin chứng chỉ mới.

Với chủ miền, dấu vết CT là cơ sở để nhận diện những lần cấp chưa được phê duyệt và yêu cầu xử lý chứng chỉ tương ứng. Nếu còn mục cấp lạ chưa được nhận diện, người dùng ngoài Chrome có thể tiếp tục phụ thuộc vào việc CA thu hồi chứng chỉ và cách ứng dụng của họ kiểm tra trạng thái thu hồi. Khoảng thời gian từ lúc chứng chỉ trái phép được cấp đến lúc nó bị phát hiện và chặn là hệ quả an ninh còn phải thu hẹp sau vụ chiếm quyền.

Đọc thêm:

• LINK chỉ cách kính Swift 12–15 km: cuộc giải cứu thất bại vẫn để lại dữ liệu quý
• LINK áp sát Swift còn 15 km, cuộc giải cứu vẫn kết thúc vì thiếu nhiên liệu
• Sao lưu kênh YouTube: tải từng video có thể chỉ còn 360p hoặc 720p