天啊，证书机构的私钥，竟然是 1 到 256 里挑一个！ 事情是这样的： 写《The Pragmatic Engineer》的 Gergely Orosz，… · @xaiwind · TwKit

@xaiwind

天啊，证书机构的私钥，竟然是 1 到 256 里挑一个！ 事情是这样的： 写《The Pragmatic Engineer》的 Gergely Orosz， 今天转了一个安全事件，气得直接骂 WTF。 Gergely 说印度的证书颁发机构 eMudhra， 本来只有一件（好吧，两件）工作： 「1. 生成安全的 384 位私钥； 2. 把它存好，别泄露。」 结果呢？ 「eMudhra 选的私钥在 1 到 256 之间（就是这些数字！！），然后就收工了。」 很多人会当笑话看， 但其实真正可怕的是： 证书机构是整个 HTTPS 信任链的根。 就像全城的保险柜都找一家锁厂配钥匙， 结果这家锁厂的万能钥匙， 密码最多才三位数、、、、、、 我真心觉得，这比黑客大片还吓人！ 当然，帖子只说了私钥怎么选， 影响了哪些网站、怎么补救，原帖没写呢。 安全这行，最怕的从来不是黑客，是偷懒！

曝光 61 · 评论 0 · 点赞 0 · 书签 0