8个泄露的TLS证书引发互联网高度警戒

互联网因发现八个与OpenSSL加密库关键漏洞相关的泄露TLS证书而进入高度警戒状态。该漏洞被称为Heartbleed（心脏出血），黑客借此可以解密受保护的数据交换，窃取私钥、会话Cookie和密码。

这些攻击影响了数千台服务器，包括主要企业和政府机构的服务器。恢复工作历时数年，包括修补OpenSSL、重新签发数百万个TLS密钥、吊销证书、轮换密码以及更新嵌入式系统。

来自eMudhra的泄露密钥存在极端缺陷。标准NIST P-384私钥包含384位熵，而这些密钥的熵仅为3至8位。工程师发现的密钥熵值分别为4、56、66、115、155、156、230和237位，远低于可接受的安全阈值。

Valsorda表示：“这本不应该发生。”他推测，一个危险的密钥生成接口可能误将其大小参数设置为1。BGP.tools的Ben Cartwright-Cox推测，示例代码可能意外流入了生产环境，并称这一疏忽“荒谬至极”。此事件凸显了加密实现和系统监管中持续存在的风险。