2. Linux.do
  3. 印度eMudhra 8 个中间 CA 私钥泄露

印度eMudhra 8 个中间 CA 私钥泄露

dunNaNa 2026-10-21 10:59 1

说明：

https://emudhra.we-have-a-problem.com/


测试：

https://dv-g3b-emudhra.we-have-a-problem.com/

弹证书错误 / 无法建立安全连接 = 已修复

能正常打开没报错 = 还没更新到位

最新回复 (8)
  • blahblah 10-21 14:37
    2楼

    其实不需要访问 https://dv-g3b-emudhra.we-have-a-problem.com，打开 https://emudhra.we-have-a-problem.com/ 往下拉就能看到完整测试结果。


    不过更让我意外的是，这事好像没多少佬关注？

  • zhongcheng1024 10-21 14:38
    3楼

    国内应该没几个用这家CA证书的吧。

  • blahblah 10-21 14:44
    4楼

    其实还是存在被利用的可能，比如：


    curl https://q3k.google.com --resolve 'q3k.google.com:443:135.181.235.221'


    就有可能借此冒充 Google 域名，所以影响并不完全取决于有多少人在用这家 CA 的证书。

  • randname 10-21 14:44
    5楼

    不是国内用不用的问题，楼主可能没说清楚。这个 ca 的私钥不是泄露，是长度非常低，其中一个的私钥甚至是 4（没错就这个）。


    基本上可以批发任意网站的证书，任意的代码签名等等，有效期甚至到 2040 年，虽然对浏览器可能效果不一定好，但是大量的 iot 设备以及国内的安卓都可以被轻而易举中间人攻击了

  • Liunian 10-21 14:45
    6楼

    这啥^-^ 我的隐私不会被泄漏吧

  • 咪叭 10-21 14:46
    7楼

    附加一个修复方法（GPT6告诉我的：


    检查CRLSet 版本



    edge://components

    chrome://components/



    对 CRLSet 版本进行更新


    如果更新不了就改成直连更新看看

  • ZYist 10-21 14:47
    8楼

    这个新闻我前两天也看到了，刚刚看到你说是 4，我还以为我记错了，因为印象中是 4 位。

    刚刚重新看了一下新闻，卧槽私钥真的是一个数字啊，4！

  • randname 10-21 14:47
    9楼

    把新闻丢给你的 agent 就能批发证书了，门槛几乎等于没有

* 帖子来源Linux.do
附近帖子
返回
飞读
随机推荐