苹果已屏蔽 eMudhra 问题证书，防止攻击者伪造网站身份

苹果已于10月19日在其设备上封锁了存在漏洞的eMudhra中间证书，以避免攻击者借此冒充网站身份。这一行动由MacRumors于今日报道。

IT之家在10月22日的报道中指出，印度证书机构eMudhra的8个中间证书私钥被发现存在生成缺陷，Mozilla、谷歌、微软及多个开发工具链已紧急撤销相关证书或发布修复。

据MacRumors今日消息，苹果在10月19日屏蔽了这些有安全风险的eMudhra中间证书，旨在防止攻击者利用它们伪造网站身份。

Mozilla加密工程师Dennis Jackson于当地时间10月20日公布了调查进展。根据Mozilla安全报告，受影响的是印度证书机构eMudhra签发的8个中间证书，其私钥均存在生成缺陷。研究人员发现，这些密钥的数值均小于256，因此只需简单尝试就能破解。

中间证书用于构建网站证书的信任链。一旦攻击者掌握相关私钥，就可能签发冒充其他网站的证书。如果软件信任这些伪造证书，攻击者便可能冒充合法网站，并在能够拦截用户网络连接的情况下读取或篡改通信内容。

Mozilla表示，研究人员于10月17日报告了这一问题，Mozilla随即通过Firefox的OneCRL机制屏蔽相关证书，无需用户更新或重启浏览器。谷歌也在同日通过Chrome的证书撤销列表屏蔽了6张受影响的TLS中间证书。苹果于10月19日采取了相应措施，微软则于10月20日跟进。

eMudhra在10月20日发布的声明中表示，公司已撤销受影响的证书，并正在调查事件原因。该公司称，受影响的中间证书中，只有一张曾部署于生产环境，且没有任何一张证书签发过面向终端用户的网站证书。

相关阅读：

• 《印度eMudhra中间证书私钥存在严重缺陷：Chrome、Firefox迅速阻断，Go、Python、Rust均需更新》