苹果封禁 8 张可被用于伪造网站的缺陷证书

苹果已在旗下设备的系统信任链中封禁一批存在严重缺陷的安全证书。这些本可能被攻击者用来伪造任意网站身份的证书，私钥强度低到近乎形同虚设。

据安全社区披露，出问题的证书由证书机构 eMudhra 签发。Mozilla 方面调查后发现，这批证书的私钥全部是小于 256 的数值——按照密码学的常规理解，这类私钥本应从极大范围内随机取数，取值区间被压缩到这种程度，几乎可以在瞬间被暴力还原。一旦拿到私钥，攻击者就能签发虚假网站证书，而存在漏洞的软件会照常信任它们。

从时间线看，Mozilla 密码学工程师 Dennis Jackson 在公告里写明苹果的封禁措施于 10 月 19 日生效。拦截作用于使用苹果系统校验接口的软件，让这些被污染的证书在苹果设备上不再被采信。

Jackson 同时提到，Safari 和其他主流浏览器本身还有一层额外的证书检查，这条路径上的攻击早已被挡住。至于是否有攻击者利用这批证书侵害过其他软件，目前仍是未知数。苹果已经推送了针对这些证书的封禁规则，但只覆盖走系统校验接口的软件，Mac 上 curl、git 这类自带证书列表的命令行工具不会自动受益，受影响用户可以按 Jackson 公开页面上的方法自检并完成清理。