8 张 eMudhra 中间证书私钥泄露：可伪造任意域名证书，Cloudflare 连夜打补丁
10 月 19 日 17:00 UTC，Cloudflare 确认 8 张 eMudhra 中间证书的私钥被攻破，密钥本身偏弱，攻击者能为任意域名签发伪造证书。目前未发现在其服务上被实际利用。
要点
- 已发布 Cloudflare One 客户端（WARP / 1.1.1.1 app）和 Cloudflare Tunnel（cloudflared）更新，CDN、Developer、Zero Trust 产品均已上线缓解措施
- 用 Zero Trust + Gateway 且客户端为最新版的用户自动受保护
- 问题出在证书认证链，不是 TLS 加密算法本身
- 开发者注意：证书校验常被委托给 HTTP 库、语言运行时或操作系统，光升 SDK 可能没用；补丁上线后出现证书错误，不要靠关掉校验来解决；原始服务器和自建信任库需自行处理
阅读原文这里是中文要点整理，数字与细节以原文为准。
评论
还没有评论，来写第一条。