eMudhra的TLS证书失陷，相关系统需更新

据Ars Technica报道，印度证书颁发机构eMudhra的八张TLS中间证书被发现失陷，促使安全团队展开应对。这些证书的私钥强度过低，足以让人制作出可能被认定为可信的未授权证书。

据该报道，截至周二临近中午时，浏览器厂商以及部分应用和编程语言已封锁这些证书。不过，首批部署并不保证所有环境都能得到同等保护。Linux发行版、嵌入式设备及物联网设备的更新存在时滞，可能延长风险暴露的时间。

这一发现应与已证实的漏洞利用区分开来。Ars Technica未报告在证书透明度日志中发现这些密钥被恶意使用的痕迹。仅凭没有此类报告，不能断定完全不存在滥用行为。

所述利用方式还要求攻击者在流量传输中处于主动中间人位置：攻击者必须能够拦截并转发通信。因此，仅仅掌握一把失陷密钥，并不足以任意拦截所有连接。

实际应对的关键，是将封锁措施推广至维护频率较低的软件和设备。这起事件由此说明，在浏览器中迅速实施一项措施，与让所有使用TLS的环境都采用该措施，是两回事。