印度 CA 机构 eMudhra 8 枚证书私钥强度不足 256，浏览器紧急拉黑
dotey · x · 2026-10-22
- 印度发证机构 eMudhra 的 8 枚中级 CA 证书私钥被曝小于 256（如 4、56、115），不到一秒即可暴力算出；弱密钥 2025 年 4 月生成，直到 2026 年 10 月 17 日才被研究者 Wayne 发现，暴露长达一年半，且已有多人独立算出、有人公开。
- Cloudflare 指出，拿到私钥者可为任意网站伪造证书，在公共 Wi-Fi 上假扮银行等站点，HTTPS 小锁照样显示。
- 浏览器侧已基本控制：Chrome、Firefox 当天拉黑，Apple 10 月 19 日、Microsoft 20 日跟进；且主流浏览器只认公开 Certificate Transparency 账本里的证书，这些章未在账本出现过，浏览器用户风险低。
- 难点在浏览器之外：手机 App、企业服务器、路由器、IoT 设备自带信任列表且不查 CT 账本，需等更新才能拉黑，老设备可能永远收不到修复；Cloudflare 自身要更新数百个服务。
所属事件:印度 CA eMudhra 八张中间证书私钥形同虚设，一把竟是数字 4(39 条相关)→
「安全」频道最新
- Anthropic 研究员警告：一年内或现 AI 攻击电网，给出应急清单 — cephaloform · 2026-10-22
- 新研究：LLM 会隐式猜测用户身份，且影响其拒绝行为 — zeynepakata · 2026-10-22
- OpenAI 组建 AI 网络安全团队，公开招聘 DX 工程师 — romainhuet · 2026-10-22
- AIandDesign 梳理近期引发恐慌的 AI 网络安全事件 — AIandDesign · 2026-10-22
- AI 加速挖出潜伏十余年的 PHP 两个高危漏洞，波及约七成网站 — Graham_dePenros · 2026-10-22
- 修复 PHP 漏洞被 OpenAI 安全限制拦住:能修不能验,用户吐槽 Codex 拦截 — Next_Technology6361 · 2026-10-22