eMudhra 中间 CA 遭泄露

tiered-zinnias

8 个 eMudhra 中间 CA 证书的私钥已遭泄露。这些证书的证书链可追溯至 Mozilla、Microsoft、Apple 和 Chrome 根证书计划所信任的根证书，同时也受到许多下游信任存储的信任。

为证明这些私钥已泄露，最初的报告者 Wayne 分别使用 8 个中间 CA 的私钥对一条消息进行了签名，并于 10 月 17 日向各根证书计划团队报告了这一问题。proof.zip 包含该消息，以及每个中间 CA 的证书、公钥和消息签名，同时还提供了使用 OpenSSL 验证这些内容的命令。

各大根证书计划以及许多下游信任存储已采取措施保护用户。自 10 月 17 日起，这些证书已在 Firefox 和 Chrome 中被阻止；自 10 月 19 日起在 Apple 设备上被阻止；自 10 月 20 日起在 Microsoft 平台上被阻止。该问题也于 10 月 19 日以负责任披露的方式通知了下游信任存储。

任何获得其中一个已泄露中间 CA 私钥的攻击者，都有可能冒充网站或服务。Mozilla、Microsoft、Apple 和 Chrome 已通过各自的证书吊销信息分发机制采取相应的修复措施。


测试环境是否已屏蔽受影响 CA：https://emudhra.we-have-a-problem.com


泄露 CA 冒充 的 Google 域名：

1. curl https://q3k.google.com --resolve 'q3k.google.com:443:135.181.235.221'

复制代码