eMudhra 的一次性密码登录被绕过：公钥就挂在页面里
来源：mastodon.catgirl.cloud — 2026-10-20
📋 概述
有人在 Mastodon 上贴出对 eMudhra 一次性密码（OTP）登录的完整绕过：站点把 OTP 用一把公钥加密后再走 Cloudflare Turnstile 下发，而公钥就写在前端可见的地方。拿到公钥之后，攻击者可以自己「签」（其实是加密）OTP 请求，绕开一次性与防机器人约束。作者的语气是嘲讽式的，问大家在 eMudhra 连续四起事故之后还有多少信任，并庆幸至少 RSA 证书没出事。
🔑 核心要点
- 攻击点是把公钥当成秘密：OTP 加密用的 RSA 公钥直接暴露在页面/接口里，任何人可复现加密。
- Cloudflare Turnstile 只挡住了自动化表单提交，挡不住用同一把公钥自造合法加密载荷。
- 这起披露紧跟在 eMudhra 中间证书私钥可被瞬秒恢复、以及宣布退出全球 SSL/TLS 业务之后。
- 贴文没有给完整利用脚本，只给了公钥和思路，属于「提示性披露」。
💡 金句
would be a real shame if you can just take that key and """sign""" (encrypt) otp requests yourself :^)
👍 0
👎 0
← 返回 Hacker News 首页