最新体育资讯

印度 eMudhra 中间证书私钥存在严重缺陷：Chrome、Firefox 迅速阻断，Go、Python、Rust 均需更新 - MK体育下载

印度 eMudhra 的 8 个中间证书私钥被发现存在严重缺陷，Chrome、Firefox 等浏览器已迅速阻断，而 Go、Python、Rust 等开发工具链也需进行更新。

据报道，印度证书颁发机构 eMudhra 旗下 emSign 的 8 张中间 CA 证书在生成私钥时出现重大漏洞。本应具备 384 位随机性的 P-384 私钥，实际取值仅相当于个位数或两位数的整数，导致这些私钥可被轻易推算。攻击者理论上能在毫秒级时间内通过穷举还原，并利用这些密钥为任意域名签发伪造的 HTTPS 证书，从而冒充目标网站或拦截、篡改通信。

Mozilla 安全团队于 10 月 20 日发布公告称，该团队在 10 月 17 日 20:06 UTC 收到关于 8 张 eMudhra 中间证书私钥存在安全问题的报告。随后，Mozilla 通过 OneCRL 证书撤销列表封锁了受影响证书，并在当日 22:59 UTC 完成面向标准配置 Firefox 用户的更新分发，整个过程耗时不到 3 小时。

根据 Google 安全团队 10 月 20 日发布的公告，Chrome 根证书计划于 10 月 17 日收到相关报告，并在当天完成核实，通过 CRLSet 更新封锁受影响中间证书的公钥哈希。由于封锁针对公钥信息，同样使用相关密钥的交叉签名证书也可获得保护，用户无需更新或重启 Chrome。

研究人员披露，8 个受影响的 P-384 椭圆曲线私钥对应的整数分别为 4、56、66、115、155、156、230 和 237。正常情况下，P-384 私钥应具备约 384 位的密钥空间安全性，而这些私钥的数值全部小于 256，意味着攻击者只需检查极少量候选值，就有可能恢复对应私钥。

受影响的证书包括用于 TLS 的中间证书和用于代码签名的中间证书。eMudhra 昨日在事件声明中表示，问题涉及 2025 年 4 月一次密钥生成仪式中创建的特定中间 CA 证书，不影响其根 CA 私钥及其他中间 CA。公司称，除一张证书外，其余受影响中间证书均未部署到生产环境；所有受影响证书均未签发终端实体证书，该结论得到公司内部分析和公开证书透明度记录的佐证。目前公司仍在调查事件。

除了浏览器及证书信任库更新外，部分开发工具和软件生态也需要通过发布新版本来封锁问题证书。相关安全修复已涉及 Go、Python certifi、Rust webpki-roots 等项目。由于不同软件使用的证书存储和撤销机制不同，浏览器已经封锁相关证书，并不意味着所有依赖系统证书库、独立 CA 证书包或内置信任库的应用程序都已获得保护。

用户应及时更新浏览器、操作系统及相关开发工具，并关注所使用软件的官方安全公告。对于无法自动获取证书撤销信息的应用程序，需确认其是否已更新相关信任库或证书包。若长期使用旧版本，可能继续信任存在风险的证书，增加访问网站时遭遇伪造证书攻击的风险。