eMudhra CA 私钥泄露后,mitmproxy 提案一键加载「官方中间人证书」
cyb3rops · x · 2026-10-22
安全研究员 cyb3rops 转发 mitmproxy 的一个 issue:在 eMudhra 中间 CA 私钥泄露(其 RSA 私钥竟是一个带大量前导零的单一整数)之后,只要把 eMudhra CA 证书放进去,就能立刻获得「完全受信任的 TLS 中间人」能力。
- issue 提议让 mitmproxy 直接内置该 CA 元数据,按一下按钮即可启用,省去手动找文件
- 也讨论了极端方案:mitmproxy 默认不再生成密钥,改用这批「魔法私钥」——但作者的 mitmproxy 和你的一样,显然有副作用
- 该 issue 已关闭并由 PR #8500 处理
事件本身暴露了 CA 生态的荒诞脆弱性:一家可信 CA 的私钥小到可以直接写出来。
「安全」频道最新
- 佛州总检察长请求法院叫停 OpenAI 未经第三方审批训练新模型 — imjustnewatai · 2026-10-23
- OpenAI 将参加 Prompt2PWN AI 黑客大会，与研究者面对面找漏洞 — OpenAIDevs · 2026-10-23
- AI 揭穿阴谋论研究风波落幕：Science 撤回关注声明，结论不变 — DG_Rand · 2026-10-23
- Chamath：银行将率先用服务条款封杀 AI Agent — nicolechirps · 2026-10-23
- Reddit 热议：安全研究本质上也是能力研究 — ResultBackground2450 · 2026-10-23
- Beam 对战 GLM 5.3 去审查版：10 轮攻防修补 96% 漏洞 — bigblueboo · 2026-10-23