八个 eMudhra 中间CA证书的私钥已被泄露。这些证书链接至 Mozilla、Microsoft、Apple 和 Chrome 根证书程序所信任的根证书,也被众多下游信任存储所信任。原始报告人 Wayne 于 10 月 17 日通过用八个中间CA各自的私钥签署一条消息并将其报告给根证书程序团队,证明了此次泄露。该报告包含消息、证书、公钥和签名,任何人都可以使用 OpenSSL 验证这些签名。
各根证书程序和众多下游信任存储已采取行动。自 10 月 17 日起,这些证书已在 Firefox 和 Chrome 中被封锁;自 10 月 19 日起在 Apple 设备上被封锁;自 10 月 20 日起在 Microsoft 中被封锁。该问题于 10 月 19 日负责任地披露给下游信任存储,许多厂商已发布或正在准备更新。该 CA 也已吊销被泄露的中间证书。
持有任何一个被泄露私钥的攻击者都可以冒充任何网站或服务。Mozilla、Microsoft、Apple 和 Chrome 已通过 CRLite 和 CRLSets 等吊销工具为其用户修复此问题。然而,许多其他客户端并不使用吊销信息,需要通过软件更新才能停止信任被泄露的中间证书。建议用户尽快将浏览器和操作系统更新至最新版本。
多个开发工具和软件包已提供修补版本,包括 Go、Electron、Python certifi、Rust webpki-roots、Homebrew ca-certificates 和 NSS,而 Node.js 和 Composer 等在报道时仍在等待修复。熟练的 Linux 用户可以在系统信任存储中手动取消对受影响根证书的信任,直到各发行版发布更新的 ca-certificates 软件包,但普通用户不建议这样做。
来源: Hacker News · 由HeadlinesBriefing整理摘要