CA 机构 eMudhra 把密钥设成数字 4，Cloudflare 追踪其被利用情况
jedisct1 · x · 2026-10-31
Cloudflare 发布后续博客，追踪印度证书颁发机构 eMudhra 弱密钥事件的实际利用情况与补丁进度。事件核心:eMudhra 的 8 个中间证书私钥极其脆弱——本应是 115 位数字的密钥，其中一个直接是数字 4，其余为 56、66、115、155、156、230、237 等几乎同样弱的值。
- 任何人都能从公开证书中几乎瞬间恢复这些签名私钥，进而为任意域名签发证书，未打补丁且不强制 Certificate Transparency 的客户端会照单全收。
- 这与 DigiNotar、TÜRKTRUST、TrustWave 等历史 CA 事件本质不同：过去是密钥泄露限于特定攻击者，此次是人人可复现。
- eMudhra 已宣布退出公共 CA 业务，称是密钥生成脚本的错误，但至今未公开该脚本；公司甚至用其中一个弱密钥签署了证书吊销列表(CRL)。
- Cloudflare 在 10 月 19 日获悉后已采取缓解措施，并持续监测野外利用与各方打补丁的进展——结论是「情况不乐观」。
「安全」频道最新
- 爆料称 Claude 会在对话后秘密生成并存储你的「可疑报告」 — alexcovo_eth · 2026-11-01
- MCP 服务器无法识别客户端是否受 BAA 约束，HIPAA 风险引热议 — SongGongSwim · 2026-11-01
- 黑色十月安全事件盘点：Binance 63亿美元被盗等十余起攻击 — teortaxesTex · 2026-11-01
- 期刊编辑坦言：AI 辅助投稿泛滥，论文的信用货币正在崩塌 — asusarla · 2026-11-01
- 一条命令自查 Claude Managed Agents 安全配置是否符合官方指南 — brada · 2026-11-01
- Claude 发现 Chrome 62 个远程代码执行漏洞，用户应升级至 156 版本 — nicolascraske · 2026-11-01