如果您是软件工程师或从事科技行业,您很可能已经听说了2026年10月20日披露的eMudhra中间CA泄露事件。您可能已经注意到,您使用的许多产品都推送了一波软件更新。与其重复完整背景(这些内容已在包括Mozilla现已公开的缺陷报告在内的公开帖子中有所涵盖),本文将重点讨论此事件对物联网设备,尤其是微控制器(MCU)类设备的影响。
一些读者是受到围绕此次泄露事件的评论所触发的。Russ Cox在Bluesky上的帖子警告称,无法或不进行更新的物联网设备盒子将永远可以被轻易进行中间人攻击。Scott Helme的帖子登上了Hacker News首页,也发出了同样强烈的警告,涵盖摄像头、路由器、汽车、医疗设备、支付终端和工业控制器,这些设备的证书包被冻结直至2039年。
这些警告是否适用,取决于如何界定物联网设备。树莓派等单板计算机,或任何运行Linux的设备,很可能受到影响,应通过空中下载(OTA)方案尽快更新。然而,成批的MCU设备很可能并未直接受到影响。要理解原因,需要对公钥基础设施(PKI)和Web PKI有基本的了解。
设备和浏览器出厂时都预装了根证书颁发机构(CA)证书包,它们充当信任锚点。每个HTTPS网站呈现的证书链都可追溯至其中某个根证书,从而使客户端能够验证身份。由于MCU通常只存储一小组固定的根证书,它们不会像通用系统那样面临同样的风险。
来源: Hacker News · 由HeadlinesBriefing整理摘要