CA 弱密钥漏洞藏匿 18 个月，研究者借 AI 工具逆向发现
teortaxesTex · x · 2026-10-22
一起证书颁发机构（CA）安全事件的最新进展：漏洞源于密钥仪式流程缺陷，而非未使用 HSM。仪式中的 key wrap/unwrap 步骤在强密钥之外生成了第二组弱密钥，被发布到浏览器根证书库的正是弱密钥。
- 该问题在两轮独立审计中都未被察觉，潜伏约 18 个月
- 发现问题的研究者逆向破解了弱密钥，据称借助了 AI 辅助工具；eMudhra 则暗示研究者可能使用 AI，而 Mozilla Google Groups 记录显示其使用的是 Google 开源工具 Project Paranoid
- 影响范围限于链到已取消信任的 ECC 根的 TLS 证书，仅涉及美国单一客户生态
- 完整根因仍在调查中，暂无弱密钥被利用的证据
发帖人预言：类似「甩锅给 AI」的说法会越来越多。
所属事件:eMudhra 弱根密钥风波：HSM 仪式缺陷致弱密钥入信任库(6 条相关)→
「安全」频道最新
- 从业者评本周网络攻击事件:开源维护模式风险再受审视 — herbiebradley · 2026-10-23
- 仅 8% 云厂商支持 OIDC,开发者呼吁彻底告别长期 API 密钥 — cramforce · 2026-10-23
- 前战地记者发布 AI 时代的数字安全清单，从邮箱开始加固 — jammastergirish · 2026-10-23
- 斯坦福 HAI 与医学院回应 FDA：生成式 AI 医疗器械怎么管 — StanfordHAI · 2026-10-23
- 斯坦福博士答辩公开：生成模型守护自主系统安全，还上了真机试飞 — StanfordAILab · 2026-10-23
- 前 OpenAI 研究员警告：AI 黑客激增，数月内或现「互联网封锁」 — jachiam0 · 2026-10-23