苹果已对eMudhra问题证书实施屏蔽，以防范攻击者利用其伪造网站身份。

IT之家10月22日消息，据IT之家昨日报道，印度证书颁发机构eMudhra的8个中间证书私钥在生成过程中被发现存在严重缺陷，Mozilla、谷歌、微软及多个开发工具链已紧急吊销相关证书或发布更新。

根据MacRumors今日报道，苹果已于10月19日在其设备中屏蔽了存在安全隐患的eMudhra中间证书，避免攻击者借此伪造网站身份。

Mozilla加密工程师Dennis Jackson于当地时间10月20日公布了相关事件的调查进展。根据Mozilla安全报告，受影响的是印度证书颁发机构eMudhra签发的8张中间证书，其私钥均存在生成缺陷。研究人员发现，这些密钥的数值均小于256，因此只需简单尝试就能完成破解。

中间证书用于建立网站证书的信任链。一旦攻击者掌握相关私钥，就可能签发冒充其他网站的证书。如果软件信任这些伪造证书，攻击者便可能冒充合法网站，并在能够拦截用户网络连接的情况下读取或篡改通信内容。

Mozilla表示，研究人员于10月17日报告了这一问题，Mozilla随后通过Firefox的OneCRL机制屏蔽相关证书，无需用户更新或重启浏览器。谷歌也在同日通过Chrome的证书撤销列表屏蔽了6张受影响的TLS中间证书。苹果于10月19日采取了相应措施，微软则于10月20日跟进。

eMudhra在10月20日发布的声明中表示，公司已撤销受影响的证书，并正在调查事件原因。该公司称，受影响的中间证书中，只有一张曾部署于生产环境，且没有任何一张证书签发过面向终端用户的网站证书。

相关阅读：

  • 《印度eMudhra中间证书私钥存在严重缺陷：Chrome、Firefox迅速阻断，Go、Python、Rust均需更新》