pip install 本可能被劫持：我拿损坏的证书链测了 Mac 上每一个信任库

📋 概述

这篇是「黑箱」系列的一环。此前已查明，eMudhra 的中间 CA 密钥可被任何人恢复——Scott Helme 在一台笔记本上不到一秒就拉出了全部八把，值分别是 4、56、115 这种数。后果是：任何处在网络路径上的人（咖啡店 Wi-Fi、被入侵的路由器、ISP）都能伪造一张 pypi.org 的证书，你下一次 pip install 就会乖乖装上他们的包。浏览器会拦下来，Python 工具却从不看那些能发现问题的日志。于是作者在同一台 Mac、同一个小时里，对每一个信任库做了四向测试：Apple 的工具仍然接受这条链，Python 则拒绝。文章把整条链——恢复弱 CA 密钥、伪造证书、占据网络路径、投递恶意包——一段一段拆开，并给出全部命令。