产业观察🔥8.0
印度 eMudhra 中间证书私钥存在严重缺陷：Chrome、Firefox 迅速阻断，Go、Python、Rust 均需更新
📋总体概括
印度证书颁发机构eMudhra旗下emSign的8张中间CA证书私钥被曝在生成时存在严重缺陷：本应具备384位随机性的P-384私钥实际取值仅为4至237等个位数或两位数小整数，攻击者可在毫秒级穷举还原密钥，进而为任意域名伪造HTTPS证书。Mozilla于10月17日收到报告后不到3小时即通过OneCRL封锁并向Firefox用户推送更新，谷歌也通过CRLSet封锁相关公钥哈希，苹果、微软及Go、Python、Rust等工具链同步处置。
⚡关键信息
- ▸eMudhra旗下emSign的8张中间CA证书私钥存在生成缺陷，P-384私钥实际仅为个位数或两位数小整数
- ▸受影响私钥对应整数为4、56、66、115、155、156、230、237，攻击者可毫秒级穷举还原并伪造HTTPS证书
- ▸Mozilla于10月17日20:06 UTC收到报告，22:59 UTC完成Firefox更新分发，全程不到3小时
- ▸Chrome通过CRLSet封锁公钥哈希，无需用户更新重启，交叉签名证书也受保护
- ▸Mozilla、谷歌、苹果、微软及Go、Python、Rust等开发工具链均发布紧急吊销或更新
🔥犀利点评
号称安全根基的CA机构，私钥随机性竟然弱到一位数，这不是技术失误，是安全流程形同虚设。讽刺的是，暴露问题的修复速度倒可圈可点：Mozilla不到3小时、Chrome零重启完成封锁，说明根证书信任体系在危机响应上已高度成熟。真正的教训是：加密体系再严密，也扛不住上游CA的随意与敷衍，信任链最薄弱的环节永远在掌握签发权的人手里。
📰 相关资讯（与本文相关的其他资讯）
本文由本站自动聚合，以下为原始来源：前往 IT之家 阅读全文 →