IT之家 10 月 22 日消息，IT之家昨日报道，印度证书颁发机构 eMudhra 的 8 个中间证书私钥被发现在生成时存在严重缺陷，Mozilla、谷歌、微软以及多个开发工具链已紧急吊销相关证书或发布更新。
据 MacRumors 今日报道，苹果已于 10 月 19 日在旗下设备中屏蔽了存在安全问题的 eMudhra 中间证书，以防攻击者利用这些证书伪造网站身份。
Mozilla 加密工程师 Dennis Jackson 于当地时间 10 月 20 日公布了相关事件的调查进展。根据 Mozilla 安全报告，受影响的是印度证书颁发机构 eMudhra 签发的 8 张中间证书，其私钥均存在生成缺陷。研究人员发现，这些密钥的数值均小于 256，因此只需简单尝试就能完成破解。
中间证书用于建立网站证书的信任链。一旦攻击者掌握相关私钥，就可能签发冒充其他网站的证书。如果软件信任这些伪造证书，攻击者便可能冒充合法网站，并在能够拦截用户网络连接的情况下读取或篡改通信内容。
Mozilla 表示，研究人员于 10 月 17 日报告了这一问题，Mozilla 随后通过 Firefox 的 OneCRL 机制屏蔽相关证书，无需用户更新或重启浏览器。谷歌也在同日通过 Chrome 的证书撤销列表屏蔽了 6 张受影响的 TLS 中间证书。苹果于 10 月 19 日采取了相应措施，微软则于 10 月 20 日跟进。
eMudhra 在 10 月 20 日发布的声明中表示，公司已撤销受影响的证书，并正在调查事件原因。该公司称，受影响的中间证书中，只有一张曾部署于生产环境，且没有任何一张证书签发过面向终端用户的网站证书。
相关阅读：