一把浏览器"小锁"的私钥，居然是数字4。 印度证书机构eMudhra翻车了：它签发的8张中间CA证书，私钥生成时随机数严重不足——私钥小到离谱，其中一把直接… · @JMkernt · TwKit

@JMkernt

一把浏览器"小锁"的私钥，居然是数字4。 印度证书机构eMudhra翻车了：它签发的8张中间CA证书，私钥生成时随机数严重不足——私钥小到离谱，其中一把直接就是数字"4"，另外两把是56和115，研究员一秒钟就从公开证书里反推了出来。 10月17日晚上，研究员Wayne把这事捅给了各大浏览器厂商，Chrome和Firefox几小时内紧急拉黑了这8张证书，苹果10月19日、微软10月20日跟进。6张用于网站认证、2张用于软件签名——手握这些私钥，理论上能伪造任何网站的可信证书。 受影响的还有约3万张未过期的证书，99.9%是高校机构的。eMudhra承认是2025年4月一次密钥生成仪式的脚本bug，称暂未发现被实际利用。 平时看到地址栏小锁就放心输密码的，这次算是见识了：安全链条最弱的一环，永远是人。你平时注意过自己常去网站的证书吗？ #网络安全 https://www.computerworld.com/article/4239086/google-mozilla-revoke-emudhra-intermediates-after-private-key-compromise-3.html

曝光 98 · 评论 1 · 点赞 1 · 书签 0