#TLS certificates

据 Hacker News 上的一篇报道，macOS 自带的 git 以及其他依赖系统证书库的工具，仍会接受已失陷的 eMudhra 证书。报道称，Apple 给出的缓解方式是手动编辑证书链，但评论者指出，这一改动可能在系统更新时被还原，而且至少已经发生过一次。该问题不限于 git；所有按操作系统信任设置校验证书的程序都可能受影响。目前提供的材料没有显示该问题已被在野利用。

eMudhra 的中间 CA 事件出现关键细节：社区讨论称，8 个被列为遭攻破的 CA 私钥都只有一个字节，其中一个私钥就是“4”，但这一说法目前仍是社区指认，尚未经过独立验证。引用 Mozilla Bugzilla 的讨论称，eMudhra 初步归因于当天生成这些 ECC 签发者时使用的 KGC 脚本存在缺陷，并提到一项经批准的对常规 KGC 的偏离。评论者 galadran 表示，Firefox 已通过 OneCRL 在数小时内自动吊销相关证书，用户无需更新；Chrome、Apple 和 Microsoft 也有类似工具，但生态中其他依赖方对吊销的投入仍然不足。