CertiK警告加密应用仍面临eMudhra证书漏洞风险
相关推荐
Arkham API 上线 Google Cloud Marketplace
Foresight News 消息,Arkham 发推称,Arkham API 已上线 Google Cloud Marketplace。企业团队可通过 Google Cloud 购买并使用 Google Cloud 积分支付。该 API 提供 Ultra,即 Arkham 已标记 31 亿个加密货币地址的地址匹配引擎。
印度CA机构eMudhra曝私钥生成漏洞,全球浏览器紧急拉黑防范中间人攻击
火星财经消息,10 月 21 日,一起引发全球网络安全界高度关注的证书颁发机构(CA)安全事件被曝光。印度 CA 机构 eMudhra 被安全研究人员发现,其签发的 8 个中间证书私钥存在极其严重的生成缺陷。这些本应具有极高安全强度的私钥,由于实现错误,其实际有效信息仅相当于极小的整数(如 4、56、66 等),导致安全人员能在不到一秒的时间内将其完全破解。这一漏洞使得原本用于保障网络通信安全的信任基石形同虚设。 中间证书是 HTTPS 加密信任链中的关键环节,其私钥一旦被轻易获取,攻击者便可利用其伪造受信任的 HTTPS 证书,进而针对银行、邮箱或任何受信任的网站发起中间人攻击,拦截、篡改或窃取用户的通信数据。事件的根源并非外部黑客的恶意入侵,而是 eMudhra 在证书生成环节出现了灾难性的实现错误,生产出了安全性近乎于零的私钥。 事件曝光后,全球主要浏览器与软件厂商迅速采取了紧急防御措施。Chrome、Firefox、Apple 以及 Microsoft 均已发布安全更新,将这 8 个存在风险的中间证书列入黑名单,阻止用户访问由它们签发的虚假证书。与此同时,eMudhra 公司自身也已正式吊销了这些存在缺陷的证书。此外,由于大量软件依赖自带的证书信任库,Go、Python、Rust 以及 Electron 等主流开发语言和框架也已紧急推送更新,在各自的生态内封禁了这些受影响的证书。 截至目前,全球安全机构尚未发现这些脆弱的私钥被恶意利用以签发伪造证书的证据。然而,考虑到庞大的物联网设备以及未及时更新的旧版系统,全面清理这一安全隐患仍需时间。安全专家提醒用户称,当前最直接有效的防护措施是确保浏览器和操作系统处于最新版本,以便及时获取最新的证书黑名单,保障自身的网络访问安全。
多家科技巨头紧急封禁eMudhra旗下8张存在安全漏洞的中间证书
Odaily星球日报讯 多家科技公司已紧急封禁印度数字证书颁发机构 eMudhra Limited 旗下 8 张存在安全漏洞的中间证书。由于相关证书的私钥生成过程存在缺陷,攻击者可能利用伪造证书冒充合法网站,拦截、读取或篡改用户通信数据。 Mozilla 加密工程师 Dennis Jackson 在事件报告中表示,Mozilla 于 10 月 17 日收到漏洞报告后,独立恢复了相关私钥,证实其生成机制存在严重缺陷且极易被利用。 Mozilla 随后通过 OneCRL 在 Firefox 中封禁受影响证书,并于 10 月 20 日发布桌面端和 Android 端浏览器更新。Cloudflare 也于周二更新 Cloudflare One、WARP 客户端及 Cloudflare Tunnel 等服务的防护措施。据 Mozilla 披露,Chrome 已于周六封禁相关证书,苹果设备于周一完成封禁,微软平台则于周二采取相应措施。(Cointelegraph)
印度数字证书机构 eMudhra 8 个私钥遭破解,该漏洞或威胁加密货币交易等系统安全
Foresight News 消息,据 CoinDesk 报道,印度数字证书颁发机构 eMudhra 的 8 个私钥因安全强度不足遭研究人员破解,攻击者可能利用相关密钥伪造数字证书、冒充可信网站,并拦截或篡改用户通信数据。 据研究人员披露,eMudhra 使用了 4、56、237 等简单整数作为私钥,而非高强度随机数,导致全部 8 个私钥可在不到一秒内被恢复。漏洞于 10 月 17 日被报告后,Mozilla 和 Chrome 当天采取封禁措施,苹果和微软分别于 10 月 19 日、20 日跟进,eMudhra 也已撤销相关证书。 该漏洞还可能影响加密货币交易机器人、交易所 API 连接及钱包后端等系统,尤其是未及时验证证书撤销状态的软件。目前尚无利用该漏洞攻击加密货币用户的公开报告。
eMudhra签发的8份TLS证书私钥强度极弱,攻击者或可冒充几乎任何网站
Odaily星球日报讯 Bitcoin News 在 X 平台发文表示,印度 eMudhra 签发的 8 份 TLS 证书被发现存在强度极弱的私钥,攻击者可能借此冒充几乎任何网站。主要浏览器已屏蔽受影响证书,但数百万台服务器、Linux 系统和联网设备可能仍需更新。一名密码学专家警告称,此次清理工作规模可能超过 2014 年的 Heartbleed 漏洞,目前尚未确认存在恶意利用。
最后一周“手撸”机会?Variational疑似将于下周五激活交易API
Odaily星球日报讯 Variational 于官方 Discord 频道内宣布,由于钱包连接流程的更新,在 5 天后的维护窗口期间(预计为 2026 年 10 月 23 日星期五凌晨 3:00),所有用户都将被登出,用户必须通过新的流程重新登录,才能重新查看仓位并恢复交易。 结合 Variational 此前所预告的开发节奏,社区猜测此次更新大概率与引入交易 API 功能有关,鉴于每周五是 Variational 的积分发放日,若真在下次更新中上线交易 API,随着程序化交易的介入,平台交易量预计将快速放大,或将大幅影响积分获取效率。