苹果屏蔽eMudhra问题证书防伪造网站身份
苹果已在旗下设备中屏蔽印度证书颁发机构eMudhra存在生成缺陷的8张中间证书，Mozilla、谷歌、微软及多个开发工具链也采取吊销或更新措施，以阻止攻击者利用问题私钥伪造网站身份并读取或篡改通信内容。
驱动中国10月22日消息，苹果已在旗下设备中屏蔽印度证书颁发机构 eMudhra 存在安全问题的中间证书，防止攻击者利用这些证书伪造网站身份。
此前已有消息显示，eMudhra 的 8 个中间证书私钥在生成时存在严重缺陷，Mozilla、谷歌、微软以及多个开发工具链已紧急吊销相关证书或发布更新。
MacRumors 消息显示，苹果于10月19日在旗下设备中屏蔽存在安全问题的 eMudhra 中间证书。Mozilla 加密工程师 Dennis Jackson 于当地时间10月20日公布相关事件的调查进展。
根据 Mozilla 安全报告，受影响的是印度证书颁发机构 eMudhra 签发的 8 张中间证书，其私钥均存在生成缺陷。研究人员发现，相关密钥数值均小于 256，通过简单尝试即可完成破解。
中间证书用于建立网站证书的信任链。攻击者若掌握相关私钥，可能签发冒充其他网站的证书。软件若信任这些伪造证书，攻击者便可能冒充合法网站，并在能够拦截用户网络连接的情况下读取或篡改通信内容。
Mozilla 表示，研究人员于10月17日报告了这一问题，Mozilla 随后通过 Firefox 的 OneCRL 机制屏蔽相关证书，无需用户更新或重启浏览器。谷歌也在同日通过 Chrome 的证书撤销列表屏蔽了 6 张受影响的 TLS 中间证书。
苹果于10月19日采取相应措施，微软则于10月20日跟进。eMudhra 在10月20日发布的声明中表示，公司已撤销受影响的证书，并正在调查事件原因。
该公司称，受影响的中间证书中，只有一张曾部署于生产环境，且没有任何一张证书签发过面向终端用户的网站证书。