#行业资讯 真热闹！爱好者们使用 eMudhra 泄露的证书为谷歌签发 10.6 万张证书，能通过 CA 公钥认证。目前 CT 日志公开记录的提交达到 10.7 万条 (用泄露证书签发的)，其中适用于 Google.com 域名的为 10.6 万条，占比 99%。这些证书可以通过 CA 公钥认证但由于中间 CA 已经被吊销，所以浏览器访问时会报错。但如果在不检查吊销日志的环境中，那是可以直接访问的。查看全文：https://ourl.co/127600

上周印度草台公司 eMudhra 证书私钥问题引起全行业的关注，该公司签发的 8 张中间 CA 证书均使用弱密钥，其中 EM OV TLS CA – G3C 证书的私钥更是夸张到只有数字 4，因此任何人都可以直接使用这个证书为其他域名签发子证书。

不过这些问题证书目前已经被浏览器和操作系统吊销，但某些设备可能不会检查证书吊销列表或无法获得更新，那被吊销的证书仍然被信任，用来签发的子证书也还是可以使用的。

要测试使用 eMudhra 为任意域名签发证书，首选域名当然是谷歌 (就像国内用户检查是否联网就打开百度)，于是目前 CT 证书透明度日志已经记录到爱好者们为谷歌主域名 Google.com 签发高达 10.6 万张证书。

目前证书透明度日志记录到的签发记录达到 10.7 万条，其中 99% 都是以谷歌域名作为测试对象的。这些证书可以通过 CA 公钥认证，但由于中间证书已经被浏览器吊销，因此实际访问时会出现阻断 (除非无法检查吊销记录)。

因为证书签发和 CT 日志登记是不同的流程，正常情况下 CA 核验域名控制权后使用中间 CA 私钥签发证书。持有泄露私钥的人则可以在本地制作证书，把任意域名写入到 DNS 名称字段，再使用该私钥进行签名。

RFC 9162 规定任何人都可以向 CT 日志提交证书并附上证书链供日志检查，CT 日志负责记录和公开证书供外界审查 CA 签发情况，不负责替 CA 审核域名控制权。所以爱好者们在签发证书时如果向 CT 日志提交那就可以被检查到。

消息源：Bugzilla

热门推荐仅需99元/年，硅谷CN2GIA服务器，另有3年版仅需528元，限量销售，售完即止