印度证书机构私钥风波与HTTPS信任风险 · 话题榜 · TwKit

@__soragoto__

啊？？这世界到底怎么了？ 有一家印度 CA 泄漏了中间私钥，这把私钥可用于签发受信任的 HTTPS 证书 泄漏私钥这种事倒不是第一次发生了… 社区动作很快，主流的浏览器已经阻断了受影响的证书了… 但是你 tm 能不能给我解释一下为什么你的私钥是 4 ？？ 不是什么 4 开头的大数，就真的是整数 4 你可以在这里查看事故详情 https://emudhra.we-have-a-problem.com 以及可以在这里查看原始消息(或许是原始消息源?我不确定) https://bugzilla.mozilla.org/show_bug.cgi?id=2083449

@oragnes

重大安全警告！互联网8把“万能钥匙”被破解，银行、交易所、Google都可能遭到冒充，请立即更新浏览器！ 卧槽，这次互联网安全事故真的有点离谱！ 印度数字证书机构 eMudhra 的8把CA私钥被发现存在致命缺陷，本该拥有384位安全强度的私钥，实际竟然只是4、56、66、115、155、156、230、237这8个数字。 安全研究员 Scott Helme 用普通笔记本不到1秒就恢复了全部私钥，而且这些证书从2025年4月就已经存在。 这事有多严重？ CA相当于互联网的身份认证机构，负责证明你访问的银行、Google、交易所究竟是不是真的。 攻击者掌握这些私钥，就有能力伪造任意网站的HTTPS证书，在仍然信任这些证书的设备上，配合网络流量劫持实施中间人攻击，窃取密码、API密钥，甚至篡改通信内容。 尤其是Crypto用户，交易机器人、交易所API和自动化钱包后端，都可能成为攻击目标。 目前 Google Chrome、Firefox已经紧急封锁涉事证书，Apple和Microsoft也采取了措施。 Chrome和Firefox的正常配置甚至不需要手动升级就能接收封锁更新，目前也没有证据表明发生了大规模恶意利用。 但Python、Node.js、Go、服务器、Docker容器及部分老旧设备，可能仍然信任这些证书，整个软件生态的清理远比浏览器复杂。 ⚠️ 建议大家今天就做几件事： 更新Chrome、Firefox等浏览器及电脑、手机系统。 检查交易机器人、开发工具和服务器依赖是否有安全更新。 未完成更新前，尽量避免通过不可信网络执行敏感操作。 所有补丁只从官方渠道安装，任何所谓的证书修复工具或邮件都不要轻信。

@op7418

今天安全领域的整个时间线上都是两件大事，对所有的互联网用户和产品应该都有影响。 第一个是有个印度证书颁发机构用了一个非常容易被猜到的数字当做私钥： 强度极弱，基本上任何人都能猜出来。 其中一个私钥就是个位数"4"，原本长达七十多位的密钥变成了单个数字 4；剩下的也是 56、66、115、155 这种数字。 这相当于给保险柜设了个密码"4"，试不到十下就能试出来。 更离谱的是，多次审计居然都没发现这几个私钥有问题。 目前 Chrome 和 Firefox 已经在几个小时内把这些私钥拉黑了，官方也把这 8 个私钥全部吊销。 真是很难想象这个机构草台班子到了什么程度。 现在浏览器端是安全的，但非浏览器端可能需要排查一下，尤其是你自己的项目如果涉及类似证书，建议让 AI 帮忙查一下。 第二个是严重 PHP 漏洞： 这个漏洞极其严重，官方说唯一真正安全的做法是立刻升级，但很多老旧网页已经多年没有升级过了。 更关键的是，有研究人员在 PHP 官方还没修复漏洞的情况下就直接公开了细节，导致所有人都能利用它发起攻击。 该漏洞是 OpenAI 资助的 Patch the Plane 项目用 GPT-5.6 Sol 发现的，无需登录即可远程拿下服务器。 漏洞覆盖面极大，比如大量依赖 PHP 的 WordPress 站点都会受到攻击。 目前荷兰议会、荷兰国家安全中心、芬兰中央政府网站，以及日本著名的 Pixiv 应用都因此关闭了一段时间。 感觉 AI 出来以后，攻防对抗变得异常剧烈，漏洞暴露和修复的频率都极快。 OpenAI 还表示，他们已经发现了更多具有这种规模效应的漏洞。

@realNyarime

三哥的CA私钥是一个字节？Mozilla通告撤销对疑似泄漏根证书颁发机构的信任： - Comodo AAA Services root - emSign ECC Root CA - G3 - emSign Root CA - C1 - emSign ECC Root CA - C3 记得ban掉这些rootCA，Comodo AAA Services root现在的名字叫做 “Sectigo”，全球最大的廉价商业SSL证书上游之一