Private Keys របស់ Intermediate CA ចំនួន ៨ នៃស្ថាប័ន eMudhra ត្រូវបានបែកធ្លាយ — កម្មវិធីរុករក និងភាសាសរសេរកូដធំៗទូទាំងពិភពលោកចេញ Patch បន្ទាន់

ពិភពសន្តិសុខបណ្ដាញអ៊ីនធឺណិត និងប្រព័ន្ធទុកចិត្តឌីជីថល (Public Key Infrastructure – PKI) កំពុងប្រឈមនឹងការរញ្ជួយទ្រង់ទ្រាយធំ បន្ទាប់ពីក្រុមហ៊ុន Mozilla និងកម្មវិធី Google Chrome Root Program បានចេញមុខបញ្ជាក់ជាផ្លូវការថា៖ កូនសោសម្ងាត់ (Private Keys) នៃវិញ្ញាបនបត្រ Intermediate Certificate Authority (CA) ចំនួន ៨ របស់ក្រុមហ៊ុនផ្ដល់វិញ្ញាបនបត្រឌីជីថល eMudhra (ម៉ាក emSign) ត្រូវបានបែកធ្លាយ និងធ្លាក់ចូលក្នុងដៃជនក្រៅប្រព័ន្ធ (Compromised)។

នៅក្នុងរចនាសម្ព័ន្ធអ៊ីនធឺណិត Intermediate CA គឺជាអ្នកចុះហត្ថលេខាលើវិញ្ញាបនបត្រ SSL/TLS ដែលគេហទំព័រនានាប្រើប្រាស់។ ដូច្នេះ ប្រសិនបើជនណាម្នាក់កាន់កាប់ Private Keys ទាំងនេះ ពួកគេអាចបង្កើត និងចុះហត្ថលេខាលើវិញ្ញាបនបត្រក្លែងបន្លំសម្រាប់គេហទំព័រណាមួយក៏បាននៅលើពិភពលោក (ដូចជា Google, Facebook ឬធនាគារ) ហើយ Browser នឹងជឿទុកចិត្តដោយស្វ័យប្រវត្តិ ដែលបើកផ្លូវឱ្យមានការវាយប្រហារស្ទាក់ស្ដាប់ទិន្នន័យកម្រិតខ្ពស់ (Man-in-the-Middle – MitM)!

«អ្នកស្រាវជ្រាវម្នាក់ (ប្រើឈ្មោះសម្គាល់ថា Wayne) បានរកឃើញការបែកធ្លាយនេះ ហើយបានប្រើប្រាស់ Private Keys ទាំង ៨ នោះ ដើម្បីចុះហត្ថលេខាលើសារថា “We have a problem here – Wayne” ផ្ញើទៅកាន់ Root Programs របស់ Chrome និង Mozilla ផ្ទាល់ ដើម្បីធ្វើជាភស្តុតាងដែលមិនអាចប្រកែកបាន!»

ក. តើមានអ្វីខ្លះត្រូវបានបែកធ្លាយ និងកម្រិតគ្រោះថ្នាក់ជាក់ស្ដែង?

ហេតុផលនៃផ្នែកនេះ៖ បង្ហាញពីប្រភេទវិញ្ញាបនបត្រដែលរងផលប៉ះពាល់ ដើម្បីឱ្យក្រុមវិស្វករប្រព័ន្ធយល់ពីទំហំនៃការគំរាមកំហែងលើ TLS និង Code Signing។

១. វិញ្ញាបនបត្ររងគ្រោះទាំង ៨៖ វិញ្ញាបនបត្រទាំងនេះដំណើរការក្រោមស្លាកយីហោ emSign (ឥណ្ឌា អាមេរិក និងហូឡង់) រួមមាន៖

• TLS Domain Validated (DV): EM DV TLS CA - G3B និង EM DV TLS CA - G3C
• TLS Organization Validated (OV): EM OV TLS CA - G3B និង EM OV TLS CA - G3C
• TLS Extended Validation (EV): EM EV TLS CA - G3B និង EM EV TLS CA - G3C
• Code Signing (CS): EM OV CS CA - G3B និង EM OV CS CA - G3C (ប្រើសម្រាប់ចុះហត្ថលេខាលើកម្មវិធី Software)

២. ការភ្ជាប់ច្រវាក់ Cross-Signed ដោយ Sectigo៖ ក្រៅពី Root ដើមរបស់ emSign វិញ្ញាបនបត្រទាំង ៨ នេះក៏មានច្បាប់ចម្លង Cross-Signed ដោយក្រុមហ៊ុន Sectigo ក្រោម Root AAA Certificate Services ផងដែរ ដែលធ្វើឱ្យវាអាចមានឥទ្ធិពលលើប្រព័ន្ធចាស់ៗមួយចំនួន។

៣. របាំងការពារពី Certificate Transparency (CT Log)៖ សំណាងល្អ មុនពេល Google Chrome ចាត់វិធានការ Block គេមិនទាន់ប្រទះឃើញមានវិញ្ញាបនបត្រ TLS ក្លែងបន្លំណាមួយចេញពី Intermediates ទាំងនេះត្រូវបានកត់ត្រាក្នុងប្រព័ន្ធ CT Log ឡើយ។ ដូច្នេះ Browser ទំនើបៗដែលតម្រូវឱ្យមាន CT Logging ជាកាតព្វកិច្ចនឹងមិនជឿទុកចិត្តវិញ្ញាបនបត្រខុសច្បាប់ទាំងនោះដោយស្វ័យប្រវត្តិនោះទេ។

ខ. ការឆ្លើយតបជាបន្ទាន់ពីក្រុមហ៊ុនបច្ចេកវិទ្យាយក្ស (Chrome, Mozilla, Apple, Go)

ហេតុផលនៃផ្នែកនេះ៖ បង្ហាញពីយន្តការដោះស្រាយបន្ទាន់ និងភាពខុសគ្នារវាងការការពារលើ Web Browser និង Software Ecosystem ផ្សេងទៀត។

១. Chrome និង Firefox រារាំងក្នុងរយៈពេលប៉ុន្មានម៉ោង៖

• Google Chrome បានរុញកញ្ចប់ CRLSet ទៅកាន់ Browser ទាំងអស់ដើម្បី Block កូនសោសាធារណៈ (Public Keys) ទាំង ៨ ដោយផ្ទាល់ (ដែលទប់ស្កាត់បានទាំងច្បាប់ចម្លង Cross-signed របស់ Sectigo)។
• Mozilla Firefox បានរុញ OneCRL បញ្ឈប់ការទុកចិត្តលើវិញ្ញាបនបត្រទាំងនោះភ្លាមៗ ដោយមិនបាច់ឱ្យអ្នកប្រើប្រាស់ Restart កម្មវិធីឡើយ។
• Apple បាន Block កាលពីថ្ងៃទី ១៩ តុលា និង Microsoft បាន Block នៅថ្ងៃទី ២០ តុលា។

២. បញ្ហាប្រឈមធំលើប្រព័ន្ធ Software (Go, Python, Linux)៖

មិនដូច Browser ដែលមានប្រព័ន្ធទាញយក Revocation List ដោយស្វ័យប្រវត្តិនោះទេ កម្មវិធីជាច្រើនដែលដំណើរការកូដ Go ឬប្រើកញ្ចប់ Python certifi មិនបានឆែកមើលទិន្នន័យ Revocation ឡើយ។

• ភាសា Go (Golang): បានចេញកញ្ចប់ Update បន្ទាន់ (CVE-2026-111943) ក្នុងកម្រិត URGENT ដោយដាក់កូដរារាំង Hash នៃកូនសោទាំង ៨ នោះនៅក្នុង Standard Library ផ្ទាល់តែម្ដង។
• លោក Filippo Valsorda (អ្នកទទួលបន្ទុកកញ្ចប់ Cryptography របស់ Go) បានបញ្ជាក់ថា មូលហេតុដែលត្រូវបង្ខំចិត្ត Hardcode កូនសោទាំងនោះចូលក្នុងភាសា Go ពីព្រោះ Root Store របស់ប្រព័ន្ធ Linux ភាគច្រើនខ្វះការ Update និងមិនអាចបញ្ជូនទិន្នន័យដកហូតសិទ្ធិ (Revocation) ទៅកាន់ Applications បានទាន់ពេលឡើយ។

គ. តារាងសង្ខេបកញ្ចប់ Patch សំខាន់ៗដែលត្រូវ Update បន្ទាន់

ហេតុផលនៃផ្នែកនេះ៖ ផ្ដល់ជាតារាងតាមដានជាក់ស្ដែង សម្រាប់ក្រុម DevOps និង Software Engineers យកទៅផ្ទៀងផ្ទាត់ និងដំឡើងលើ Server។

ឃ. អនុសាសន៍បច្ចេកទេសពី SecuDemy សម្រាប់ SysAdmin និង Developers

ហេតុផលនៃផ្នែកនេះ៖ ផ្ដល់នូវ Checklists អនុវត្តជាក់ស្ដែង ដើម្បីធានាថាហេដ្ឋារចនាសម្ព័ន្ធ Server និងកម្មវិធី Backend របស់អ្នកមិនរងការគំរាមកំហែង។

១. Recompile / Rebuild កម្មវិធីដែលសរសេរដោយភាសា Go៖

ប្រសិនបើអ្នកមាន Binary ឬ Microservices សរសេរដោយ Go ត្រូវធ្វើការ Update ទៅកាន់ Go 1.27.3 ឬ 1.26.10 រួចធ្វើការ Compile កូដឡើងវិញជាបន្ទាន់ ព្រោះកំណែ Go 1.25 ចុះក្រោមលែងទទួលបានការគាំទ្រទៀតហើយ។

២. Update កញ្ចប់ CA Certificates លើម៉ាស៊ីនមេ Linux៖

ដំណើរការ Update កញ្ចប់ ca-certificates, certifi (Python) និង Environment ណាដែលប្រើប្រាស់ cURL/OpenSSL ដើម្បីធានាថា Root Certificates ដែលរងគ្រោះត្រូវបានដកចេញ។

៣. ពិនិត្យមើលគេហទំព័រដែលប្រើប្រាស់ emSign Certificates៖

ដោយសារ Mozilla NSS, Python certifi និង Chrome (កំណែទី ៤៣ ខាងមុខ) បាននិងកំពុងដក Root Certificate របស់ emSign ចេញ គេហទំព័រណាដែលនៅតែបន្តប្រើ SSL/TLS របស់ emSign អាចនឹងជួបបញ្ហា SSL Certificate Error (Untrusted Connection) នៅពេលអ្នកប្រើប្រាស់ចូលទស្សនា។ ម្ចាស់គេហទំព័រគួរតែពិចារណាផ្លាស់ប្តូរទៅប្រើ CA ផ្សេង (ដូចជា Let’s Encrypt, DigiCert, Cloudflare) ឱ្យបានទាន់ពេលវេលា។

ទស្សនៈយល់ឃើញពី SecuDemy

ឧប្បត្តិហេតុបែកធ្លាយ Private Key កម្រិត Intermediate CA គឺជាសុបិន្តអាក្រក់បំផុតមួយនៃប្រព័ន្ធ Web Trust។ ទោះបីជាបច្ចេកវិទ្យា Certificate Transparency (CT Log) បានជួយកាត់បន្ថយហានិភ័យលើ Browser យ៉ាងច្រើនក្ដី ប៉ុន្តែប្រព័ន្ធ Backend,API, និងឧបករណ៍ IoT រាប់លានដែលមិនបានត្រួតពិនិត្យ Revocation List នឹងនៅតែប្រឈមនឹងគ្រោះថ្នាក់ខ្ពស់ លុះត្រាតែអ្នកគ្រប់គ្រងប្រព័ន្ធធ្វើការ Update កញ្ចប់ CA-Bundle ដោយផ្ទាល់។

ប្រភពដើម៖ The Hacker News (Swati Khandelwal)

អត្ថបទនេះផ្តល់ជូនដោយ Bitdefender Total Security

Bitdefender Total Security គឺជាកញ្ចប់កម្មវិធីការពារឧបករណ៍របស់អ្នកដែលអាចតំឡើងនៅលើប្រព័ន្ធប្រតិបត្តិការ (Windows, macOS, iOS, Android) ដែលប្រមូលផ្តុំនូវមុខងារជាច្រើន មានដូចជា មុខការទប់ស្កាត់និងកម្ចាត់មេរោគ មុខងារឯកជនភាព និងមុខងារសុវត្ថិភាពសំខាន់ៗផ្សេងទៀត ទៅក្នុងកញ្ចប់កម្មវិធីតែមួយ។ Bitdefender អាចបញ្ឈប់មេរោគកុំព្យូទ័រមិនឱ្យឆ្លង ទប់ស្កាត់មោរោគចាប់ជំរិតទារប្រាក់ (ransomware) ការវាយប្រហារតាមភាពងាយរងគ្រោះ/ចន្លោះប្រហោងទើបប្រទះឃើញ (zero-day exploits) និងមេរោគស៊ើបការណ៍ (spyware) មុនពេលដែលវាបង្កការខូចខាតដល់កុំព្យូទ័រ/ប្រព័ន្ធរបស់យើង។ លើសពីនេះ វាក៏មានការការពារនៅកម្រិតបណ្តាញ ដើម្បីរារាំងគេហទំព័រឆបោក (phishing) និងតំណភ្ជាប់ដែលមានមេរោគផងដែរ៕