eMudhra 中间 CA 私钥失窃：Apple 全线封禁，命令行工具还得自己动手
来源：support.apple.com — 2026-10
📋 概述
八张由 eMudhra 运营的中间 CA 私钥被攻破，其中六张签发 TLS 证书——拿到这些私钥的人可以为任意网站签出看起来完全有效的证书。Apple 从 10 月 19 日起在设备上封禁这 12 张证书（每张 CA 两张：一张链到 emSign ECC Root CA - G3，一张由 Sectigo 交叉签名链到 AAA Certificate Services），23 日又追加封禁了 emSign ECC Root CA - G3。Safari、Mail 和走 Apple 网络框架的 app 不需要任何操作，但 macOS 与 Xcode 命令行工具里的 curl、git 仍然照 /etc/ssl/cert.pem 验，系统更新前要管理员手工删根证书。
🔑 核心要点
- 失窃范围：8 张中间 CA，其中 2 张 签代码签名证书（Apple 本来就不信）、6 张 签 TLS 证书，共 12 张证书受影响
- 攻击后果直接了当：持有这六张私钥的人能伪造任意网站的合法证书，这是 全站中间人 级别的能力
- 设备层面的封禁走的是自动下发的 证书配置数据，不需要装系统更新，23 日还追加封了根 CA
- 例外是命令行工具：curl、git、python3、ruby、perl、openssl 只查 /etc/ssl/cert.pem，既不查 Apple 的封禁表也不查吊销状态
- 手工删根证书有副作用——经由未受影响的其他中间 CA 链到同一根证书的站点可能验不过，属于自担风险的临时手段
- 而且系统更新会把 cert.pem 覆盖回去，每次更新后都要重跑一遍，直到装到包含 Apple 改动的那个版本
💡 金句
Someone with keys from these six CAs could create certificates that appear valid for any website.
👍 0
👎 0
← 返回 Lobsters 首页