Lỗi chứng chỉ eMudhra khiến Fedora 45 lùi lịch phát hành

Fedora 45 được dời lịch dự kiến sang ngày 3/11/2026 sau cuộc họp Go/No-Go, khi các lỗi chặn phát hành vẫn chưa được giải quyết hết. Trong số đó, vấn đề eMudhra không phải lỗi riêng của Fedora: nó đặt ra câu hỏi liệu một bản Linux mới có nên tiếp tục tin các chứng chỉ số liên quan đến một cơ quan cấp chứng chỉ đang gặp sự cố hay không.

Khóa riêng yếu biến chứng chỉ trung gian thành rủi ro rộng hơn

Chứng chỉ TLS giúp trình duyệt và phần mềm xác nhận danh tính máy chủ khi kết nối HTTPS. Các chứng chỉ trung gian nằm trong chuỗi xác thực giữa chứng chỉ của website và một CA gốc được hệ thống tin cậy. Nếu khóa riêng của một chứng chỉ trung gian bị đoán hoặc khôi phục được, kẻ tấn công có thể tìm cách phát hành chứng chỉ giả cho tên miền không thuộc quyền kiểm soát của mình.

The Register dẫn phân tích của nhà nghiên cứu Scott Helme: một khóa riêng eMudhra bị lộ chỉ là số 4; một số khóa khác là 56 và 115. Với khóa P-384, không gian khóa cần là một số ngẫu nhiên 384 bit, nên các giá trị nhỏ như vậy không thể bảo vệ chuỗi chứng thực như thiết kế. Đây là lỗi ở khâu tạo khóa của eMudhra, không phải dấu hiệu Fedora bị xâm nhập.

Red Hat Bugzilla ghi nhận sự cố trong bug 2556376, thuộc gói ca-certificates và được đánh dấu AcceptedBlocker cho Fedora 45. Nội dung trao đổi cho thấy giải pháp đang được triển khai gồm loại bỏ một số chứng chỉ gốc liên quan khỏi gói tin cậy, do chưa có cơ chế đồng nhất để các thư viện mật mã đều từ chối đúng các chứng chỉ trung gian bị ảnh hưởng.

NO-GO là điểm kiểm soát chất lượng, không phải tuyên bố Fedora ngừng phát hành

Trong quy trình Fedora, nhóm phát hành đánh giá các blocker tại cuộc họp Go/No-Go. Khi lỗi được chấp nhận là blocker vẫn còn mở, quyết định NO-GO đẩy lịch phát hành để có thêm thời gian sửa và kiểm tra. Vì vậy, ngày 3/11 là mốc dự kiến mới, không phải cam kết chắc chắn; Lịch phát hành còn phụ thuộc việc các lỗi được xử lý trước cuộc họp Go/No-Go kế tiếp.

Danh sách blocker không chỉ có eMudhra. Phoronix nêu ảnh Fedora Server 45 cho AArch64 vượt giới hạn dung lượng, LVM tự kích hoạt thất bại sau khi nâng cấp trong một cấu hình dùng LUKS, và KDE Plasma Discover lấy gói RPM cũ từ kho Fedora 44. Các lỗi này ảnh hưởng những phần khác nhau của bản phân phối, nhưng cùng có thể làm hỏng cài đặt, nâng cấp hoặc quản lý phần mềm nếu lọt vào bản phát hành ổn định.

Điểm quan trọng là Fedora không xem bản cập nhật chứng chỉ như một việc có thể giao hết cho người dùng sau ngày phát hành. Một hệ điều hành mới thường được dùng để cài máy mới, dựng máy chủ hoặc nâng cấp nhiều thiết bị; nếu trust store mặc định vẫn chấp nhận chuỗi chứng chỉ có rủi ro, phạm vi ảnh hưởng sẽ vượt khỏi nhóm người theo dõi sự cố bảo mật.

Người dùng Fedora nên cập nhật gói chứng chỉ và chờ ISO ổn định

Bugzilla ghi nhận bản cập nhật ca-certificates cho Fedora 45 đã được đẩy lên kho stable ngày 23/10. Điều đó xử lý một phần công việc kỹ thuật, nhưng chưa tự động đóng mọi blocker của Fedora 45; lịch phát hành vẫn phụ thuộc các lỗi còn lại và quyết định Go/No-Go tiếp theo.

Fedora là hệ điều hành miễn phí, người dùng tại Việt Nam có thể tải từ dự án Fedora. Với máy đang chạy phiên bản Fedora khác, sự cố này không đồng nghĩa cần cài lại hệ điều hành; nên cài các cập nhật bảo mật qua cơ chế cập nhật chính thức của bản phân phối. Người định cài Fedora 45 mới có lý do chờ bản ISO chính thức thay vì tìm bản dựng không chính thức trong lúc lịch phát hành còn thay đổi.

Đợt trì hoãn này cho thấy giá trị của một quy trình phát hành có quyền nói “chưa”. Việc lùi vài ngày ít tốn kém hơn phát hành một hệ thống vẫn tin nhầm chứng chỉ nguy hiểm, trong khi các lỗi LVM hay kho RPM cũ cũng có thể biến lần nâng cấp thành sự cố khó khắc phục cho người dùng.

Nguồn tham khảo: Phoronix, Red Hat Bugzilla, The Register, XDA Developers.