印度凭证机构 eMudhra 的私钥产生瑕疵一路烧进以太坊：Teku 与 Besu 两大客户端紧急更新，停止信任与 eMudhra 相关的凭证。 研究人员发现该公司八个中继凭证机构的私钥随机性不足，攻击者理论上能藉此冒充验证者连线的服务、拦走区块奖励。 （前情提要：私钥弱的离谱！ 印度 SSL 凭证商 eMudhra 被四大浏览器封杀后退出市场，还怪社群太吵） （背景补充：以太坊 Glamsterdam 升息爆漏洞：操作员能吞走质押资金（已修补完成）） 本文目录 Toggle 问题出在哪里 验证者如何可能掉钱 一条凭证链，牵动整条链的信任 印度凭证机构 eMudhra 的私钥出包事件，如今烧进了以太坊。 许多验证者用来执行权益证明（PoS）的客户端 Teku，在周二发布 26. 10. 3 版；负责处理以太坊交易的 Besu 则在周一发布 26. 10. 2 版。 两个更新都在 Docker 映像档中，停止信任与 eMudhra 相关的凭证。 验证者是质押 ETH、负责维护以太坊安全并赚取手续费的电脑。 其中部分验证者会透过网际网路与其他服务沟通，并靠数位凭证确认自己连上的物件没有被冒充。 问题出在哪里 10 月 17 日，研究人员发现 eMudhra 旗下八个中继凭证机构（intermediate CA）背后的私钥，在产生时使用的随机性不足。 这意味著这些私钥可以从凭证本身推汇出来，而凭证是公开的。 任何拿到这些私钥的人，都能签发未修补软体会照单全收的凭证。 浏览器率先封锁这些凭证，eMudhra 隔天撤销，这家印度业者随后更表明将退出凭证业务。 Teku 与 Besu 之所以中弹，关键在于它们依赖的程式语言 Java。 Java 预设不检查凭证是否已被撤销，因此即使浏览器早已把这些坏凭证踢掉，Teku 的 Docker 映像档仍继续信任它们。 验证者如何可能掉钱 若攻击者卡在验证者与其连线服务之间，就能冒充那个服务。 Teku 在安全公告中指出，被骗的验证者可能提议出一个把手续费付给攻击者地址的区块。 风险最高的是伪造的外部签署者（external signer），也就是保管验证者私钥的独立服务，一旦沦陷，攻击者便能拿到用来更改奖励去向的签章。 Teku 与 Besu 的更新版已可在开源版本页取得。
- 问题出在哪里 10 月 17 日，研究人员发现 eMudhra 旗下八个中继凭证机构（intermediate CA）背后的私钥，在产生时使用的随机性不足。
- 仍停留在 Java 26 的人更麻烦：Teku 表示该版本已停止支援、不会有修补版，必须升到 Java 25。
来源：动区动趋
本文由 GTokenTool 摘编，版权归原作者所有；内容仅供参考，不构成投资建议。