eMudhra 金鑰遭入侵，揭示瀏覽器修補之外的安全漏洞

印度憑證機構 eMudhra 有八把簽署金鑰遭入侵，暴露出瀏覽器防護與網站及交易工具背後所運行軟體之間的落差。截至 10 月 21 日，主要瀏覽器廠商已封鎖受影響的憑證，但某些非瀏覽器程式仍可能接受偽造憑證，因為它們不會檢查憑證是否已撤銷。

重點摘要

• 研究人員找回八把強度不足的私鑰，可用來簽署冒充可信網站的憑證。
• 瀏覽器廠商已封鎖受影響的憑證，但對從不檢查撤銷狀態的軟體而言，僅撤銷憑證並無法提供防護。
• 當時尚未傳出加密貨幣攻擊事件；相關疑慮延伸至更廣泛網路中過時的軟體。

目錄

• eMudhra 金鑰遭入侵後的安全漏洞
• 哪些防護措施已推送給使用者？
• 弱金鑰如何破壞網站驗證
• 為何交易軟體需要另行關注
• 結論

eMudhra 金鑰遭入侵後的安全漏洞

關鍵差異在於撤銷憑證，與確保軟體拒絕信任該憑證並非一回事。eMudhra 已撤銷受影響的憑證，但安全研究員 Scott Helme 警告，對不檢查撤銷狀態的程式而言，這項措施無法提供任何防護。

Helme 表示，他的測試發現，curl、Python、Node、Go 和 Java 都接受了 Stripe API 的偽造憑證。這只是展示憑證被接受的情況，並非 Stripe 遭入侵的證據。

偽造憑證可能讓網路攔截者冒充可信服務，並讀取或竄改流量。瀏覽器封鎖措施可為受保護的瀏覽器封堵這條途徑，但不能證明每個獨立應用程式或後端都已獲得同等防護。

哪些防護措施已推送給使用者？

一名名為 Wayne 的研究人員於 10 月 17 日通知瀏覽器廠商後，各方開始採取應對措施。他使用八把遭入侵的金鑰為警告訊息進行數位簽署，藉此展示自己掌握了全部金鑰。修補程式已推出，並不代表每套安裝都已完成更新。

弱金鑰如何破壞網站驗證

憑證機構提供瀏覽器用來驗證網站身分的憑證。因此，其私有簽署金鑰肩負的責任與一般網站密碼不同：一旦簽署金鑰遭入侵，就可用來為其他網站製作外觀可信的憑證。

Helme 表示，他在不到一秒內便從公開憑證中找回全部八把金鑰。他指出的私鑰值包括 4 和 56，顯示這些金鑰幾乎無法抵抗破解。他表示，這些金鑰自 2025 年 4 月起便已暴露。

根據 Helme 對 Mozilla 錯誤追蹤單的解讀，eMudhra 將問題歸咎於其金鑰設定指令碼中的錯誤。

為何交易軟體需要另行關注

對加密貨幣使用者而言，相關風險不只是在瀏覽器中開啟交易所。交易所機器人、交易指令碼及錢包後端都可能依賴受影響的非瀏覽器軟體。理論上，偽造的交易所 API 憑證可能讓同一網路上的攻擊者攔截或竄改機器人的流量。

當時尚未傳出加密貨幣攻擊事件。Polygon Labs 技術長 Mudit Gupta 表示，這是一般性的軟體安全問題，並非加密貨幣專屬問題；較舊或尚未修補的軟體尤其令人擔憂。他表示，持續更新錢包、交易工具及裝置的使用者面臨的風險較低。

結論

瀏覽器的應對措施封堵了憑證冒充的直接途徑，但尚未解決更廣泛的軟體問題。剩餘風險取決於個別工具是否會拒絕遭入侵的憑證，而不只是憑證簽發機構是否已將其撤銷。

閱讀更多新聞

更多 FinanceVelix 新聞

免責聲明

本文由 FinanceVelix 提供一般資訊，不構成個人化財務、投資、法律或稅務建議。市場價格、利率及經濟狀況可能變動；投資涉及虧損風險。本文所述事實反映發布時可取得的資料，並可能有所變動。請自行核實重要資訊，並在需要時諮詢合格專業人士。提及任何資產、公司或服務，均不代表對其背書。