测试你的浏览器安全性：如果能打开这个网站，就踩中了印度证书机构的离谱大雷

现在，测试一下你的浏览器
https://dv-g3b-emudhra.we-have-a-problem.com/
如果能打开这个网址，就证明你的浏览器中了印度证书机构的离谱大雷。

如果打不开，你的浏览器安全，已更新！

印度证书机构出了什么离谱大雷？

这是青小蛙使用 OpenSSL 随机生成的一份 P-384 私钥，与印度 eMudhra 此次出问题的私钥采用相同的椭圆曲线算法：

其中 priv: 后面的 48 字节十六进制数字，就是私钥真正的秘密数字。

正常情况下（如上图），这个数字非常庞大，几乎无法通过暴力猜测找到。

然而，印度 eMudhra 的其中一份私钥，是这样的：

这个 …00:04 是猜出来的。

研究人员从 1 开始暴力枚举，每猜一个数字，就用它计算出对应的公钥，再与证书中公开的公钥进行比较。结果只猜到了 4，两者完全一致，成功破解了私钥。

至此，私钥泄漏。

中间证书的私钥泄露会怎么样？

HTTPS 证书有一套信任体系：根证书 → 中间证书 → 网站证书

根证书由浏览器或操作系统信任，中间证书由根证书授权，可以继续为网站签发 HTTPS 证书。

比如，你访问 appinn.com，浏览器会检查网站证书是不是由可信的证书机构签发的。如果整条证书链都有效，浏览器就会信任它。

而这次印度 eMudhra 泄露的，恰恰是中间证书机构的私钥。

这意味着，攻击者拿到私钥后，就可以冒充证书颁发机构，为任意域名签发 HTTPS 证书。

如果浏览器仍然信任这条证书链，攻击者再配合网络劫持，就可能冒充真实网站，窃取用户密码、监听或篡改 HTTPS 通信。

这相当于小偷拿到了可以制作正规通行证的官方印章，想给谁发证就给谁发证。

结局

各大浏览器已经处理完成，Google Chrome 和 Mozilla Firefox 在 10 月 17 日就完成了紧急封锁，苹果于 19 日、微软于 20 日也采取了相应措施。

但是，这次泄漏还可能影响 curl、Python、Node.js，以及大量使用系统证书库的应用程序。

比如现在使用 curl 还是可以访问到该测试 URL：

测试结果

最后，别忘记来分享你的浏览器，拦截了这张离谱证书吗？

原文：https://www.appinn.com/test-browser-security-emudhra-certificate/