私钥竟是数字 4：印度 eMudhra 证书翻车，苹果 macOS 27.3 开发者测试版强制拉黑
苹果在 macOS 27.3 首个开发者测试版中全面封禁印度 eMudhra 问题证书，补上了 Mac 端的缺口：此前谷歌与 Mozilla 已于 10 月 17 日率先封禁，苹果 10 月 19 日在 iOS 和 iPadOS 加入拦截，但 macOS 内置 curl 不检查吊销信息，先前信任过这些证书的 Mac 仍可能继续接受它们。事件起因是安全研究人员发现 eMudhra 于 2025 年 4 月生成的部分证书私钥异常短，最离谱的只是数字 4，远低于行业常规。新版无论关联证书此前是否被信任均直接阻止，预计 12 月正式推送，也可能经 macOS 27.2.1 提前推送。这一修复值得关注，因为此次涉及 8 张证书，其中 6 张用于 TLS、曾被苹果、Chrome、微软和 Mozilla 的根证书计划信任，2 张用于代码签名并被微软信任，此类弱密钥理论上可让攻击者伪造受信任的加密连接或签名，不过多数证书并未进入生产环境，目前也没有证据表明已被利用。
报道来源
- IT之家2026-11-05 00:24