eMudhra 证书私钥泄露这件事，Safari 早就拦住了，但 Mac 自带的 git、curl、python3 到今天还在信任这批证书。更糟的是 10/… · @0xwolverines · TwKit

@0xwolverines

eMudhra 证书私钥泄露这件事，Safari 早就拦住了，但 Mac 自带的 git、curl、python3 到今天还在信任这批证书。更糟的是 10/26 那次 macOS 更新没修，还把不少人手动删掉的根证书又装了回去。 事实部分（来源：Apple 支持文档 149555、披露站 http://emudhra.we-have-a-problem.com 10/28 更新）： 1. 印度 CA eMudhra 有 8 张中间证书的私钥生成错误，任何人都能从证书本身算出私钥，其中 6 张能签 TLS 证书，也就是能冒充任意网站。10/17 被报告。 2. Chrome、Firefox 当天就拦了；Apple 10/19 起在 Safari、Mail 和走系统网络框架的 App 里拦截。 3. 但 Mac 自带的 curl、git、python3、ruby、openssl 校验证书看的是 /etc/ssl/cert.pem，不查 Apple 的拦截名单，也不查吊销。Apple 自己写明要等"未来的系统更新"。 4. 有人实测 26.7.2 更新后这个文件被还原，两张根证书又回来了；披露站说 27.2 也一样。 5. 边界：这批中间证书从没进过证书透明度日志，强制查日志的浏览器不会被骗；要攻击得先能劫持你的网络，比如公共 Wi-Fi。目前没看到有人实际利用的公开报告，但披露站也说不知道有没有人用过。 我的判断：现在 Mac 上跑 git clone、pip install、curl | sh 最多的，很可能已经不是人，而是编程 Agent。它们一路自动执行，换了网络也不会停下来问一句"证书对不对"。这是我的推断，没有数据。 我自己的做法： 1. 在终端跑 curl https://dv-g3b-emudhra.we-have-a-problem.com/ ，报证书错误才算安全，能连上就说明还在信任。 2. 按 Apple 文档删掉那两张根证书，并且每次升级 macOS 后重测一遍。 3. 自带证书库的工具单独升级：Claude Code、Docker、VS Code、uv、pip、Node、Go 都已出修复版本，Slack、Discord 这类 Electron 应用要等 App 自己更新。 4. 公共网络下别让 Agent 自动拉代码，git 远程能用 SSH 就用 SSH。 你的 Mac 测出来是报错，还是直接连上了？ #AI安全 #macOS #Agent

曝光 7 · 评论 0 · 点赞 0 · 书签 0