八张TLS证书私钥过弱 全球互联网进入高度戒备

据Ars Technica报道，8张TLS证书的私钥强度过弱，可被用来为互联网上任意网站伪造受信任的浏览器和应用凭证；这一发现使全球安全人员在周二进入高度戒备。截至周二上午晚些时候，浏览器厂商以及部分主要应用和编程语言已封禁全部8张中间证书。

报道称，目前尚无证书透明度日志显示这些受损密钥被恶意使用。证书透明度日志用于追踪所有受浏览器信任的证书签发情况。但威胁远未结束，因为更新互联网其他关键部分既困难又耗时，例如Linux发行版以及嵌入式和物联网设备。

这8张中间证书属于印度证书机构eMudhra Limited。上周末，发布在emudhra.we-have-a-problem.com上的一份非正式公告写道：“We have a problem here - Wayne.”公告文字使用其中一张eMudhra证书的私钥进行了数字签名。报道指出，在证明报告方控制该私钥后，防御人员紧急行动，因为同一把密钥可用于签发未经授权的证书，而这些证书会被全球数以百万计的服务器信任。