发现8个被篡改的TLS证书后,互联网进入高度警戒状态
ars ·
全球安全人员高度警惕,原因是发现印度eMudhra有限公司签发的8个TLS中间证书遭到篡改。这些证书关联的私钥存在严重弱点,长度仅为3至237位,远低于NIST P-384椭圆曲线密码学标准的384位熵值。这一漏洞使任何人能够为互联网上的任何网站伪造受信任的浏览器和应用凭证,对数字安全构成严重威胁。主要浏览器已屏蔽受影响证书,但部分Linux发行版和物联网设备的更新仍在等待中。密码学专家将此次清理工作的规模与Heartbleed事件相提并论,指出系统异构性将使恢复过程尤为耗时。尽管证书透明度日志中尚未报告恶意使用情况,但在所有依赖系统完成更新之前,威胁依然活跃。建议用户在使用VPN等涉及非浏览器TLS通信的场景中保持谨慎,特别是在监控严厉的地区。此次事件凸显了TLS生态系统的脆弱性:一个薄弱环节即可危及全球信任基础设施。
ars