印度CA私钥疑似泄露与浏览器信任撤销讨论 · 话题榜 · TwKit

@__soragoto__

啊？？这世界到底怎么了？ 有一家印度 CA 泄漏了中间私钥，这把私钥可用于签发受信任的 HTTPS 证书 泄漏私钥这种事倒不是第一次发生了… 社区动作很快，主流的浏览器已经阻断了受影响的证书了… 但是你 tm 能不能给我解释一下为什么你的私钥是 4 ？？ 不是什么 4 开头的大数，就真的是整数 4 你可以在这里查看事故详情 https://emudhra.we-have-a-problem.com 以及可以在这里查看原始消息(或许是原始消息源?我不确定) https://bugzilla.mozilla.org/show_bug.cgi?id=2083449

@oragnes

重大安全警告！互联网8把“万能钥匙”被破解，银行、交易所、Google都可能遭到冒充，请立即更新浏览器！ 卧槽，这次互联网安全事故真的有点离谱！ 印度数字证书机构 eMudhra 的8把CA私钥被发现存在致命缺陷，本该拥有384位安全强度的私钥，实际竟然只是4、56、66、115、155、156、230、237这8个数字。 安全研究员 Scott Helme 用普通笔记本不到1秒就恢复了全部私钥，而且这些证书从2025年4月就已经存在。 这事有多严重？ CA相当于互联网的身份认证机构，负责证明你访问的银行、Google、交易所究竟是不是真的。 攻击者掌握这些私钥，就有能力伪造任意网站的HTTPS证书，在仍然信任这些证书的设备上，配合网络流量劫持实施中间人攻击，窃取密码、API密钥，甚至篡改通信内容。 尤其是Crypto用户，交易机器人、交易所API和自动化钱包后端，都可能成为攻击目标。 目前 Google Chrome、Firefox已经紧急封锁涉事证书，Apple和Microsoft也采取了措施。 Chrome和Firefox的正常配置甚至不需要手动升级就能接收封锁更新，目前也没有证据表明发生了大规模恶意利用。 但Python、Node.js、Go、服务器、Docker容器及部分老旧设备，可能仍然信任这些证书，整个软件生态的清理远比浏览器复杂。 ⚠️ 建议大家今天就做几件事： 更新Chrome、Firefox等浏览器及电脑、手机系统。 检查交易机器人、开发工具和服务器依赖是否有安全更新。 未完成更新前，尽量避免通过不可信网络执行敏感操作。 所有补丁只从官方渠道安装，任何所谓的证书修复工具或邮件都不要轻信。

@realNyarime

三哥的CA私钥是一个字节？Mozilla通告撤销对疑似泄漏根证书颁发机构的信任： - Comodo AAA Services root - emSign ECC Root CA - G3 - emSign Root CA - C1 - emSign ECC Root CA - C3 记得ban掉这些rootCA，Comodo AAA Services root现在的名字叫做 “Sectigo”，全球最大的廉价商业SSL证书上游之一