私钥生成缺陷允许任何人猜测私钥并为任何网站伪造​​ HTTPS 证书。

科技巨头已针对八个易受攻击的数字证书部署了紧急阻止措施，这些证书可能允许攻击者冒充合法网站。

截至周二，浏览器开发商和其他主要科技公司在发现其私钥不够安全后，已针对印度证书颁发机构 eMudhra Limited 颁发的八个中间证书部署了保护措施。

Mozilla 密码学工程师 Dennis Jackson 在一份事件报告中写道，Mozilla 在周六首次收到该缺陷的通知时独立恢复了私钥，确认密钥生成过程存在“缺陷”且“易于利用”。

据 Mozilla 称，拦截用户连接的攻击者可能会使用欺诈性证书来冒充合法网站，并可能读取或更改交换的信息。

尽管许多公司迅速阻止了受影响的证书，但对于不自动接收这些阻止的应用程序和系统来说，威胁仍然存在。

Mozilla Firefox 的安全团队在周二的博客文章中表示，他们在周六收到了该报告，并做出回应，使用 OneCRL 阻止了 Firefox 中受影响的证书，并于当天完成了这项工作。随后，它发布了桌面版和安卓版浏览器的更新，通过自定义设置保护用户，防止他们接收 OneCRL 更新。

Cloudflare 表示，它于周一获悉该报告，并于周二发布了 Cloudflare One、WARP 客户端和 Cloudflare Tunnel 的更新，以及其服务的缓解措施。

杰克逊表示，自周六以来，这些证书在 Chrome 中被封锁，自周一以来在苹果设备上被封锁，自周二以来在微软平台上被封锁。

“该问题已于 10 月 19 日负责任地向下游信托商店披露。许多信托商店已经发布更新或正在发布更新，”他说。

Jackson 表示，没有证据表明 Firefox、Chrome、Edge 和 Safari 受到了这种方式的攻击，因为自 2025 年 4 月以来，中间证书的证书透明度日志中没有任何条目。

“然而，浏览器生态系统之外的许多客户端并不强制执行证书透明度。我们不知道攻击者是否利用有缺陷的密钥生成来瞄准这些客户端，”他说。

该事件让人回想起 2011 年 DigiNotar 的一次重大网络攻击，黑客破坏了荷兰证书颁发机构，颁发了 531 个欺诈性 SSL 证书。

恶意证书允许威胁行为者冒充 Google 并监视大约 300,000 个伊朗 Gmail 帐户。