完全绕过 eMudhra 的单因素认证（1FA）一次性密码（OTP）登录系统

Hacker News Top 2026/10/22 19:14 新闻

security vulnerability authentication otp-bypass cybersecurity india

摘要

安全研究人员披露了一种可完全绕过 eMudhra 基于一次性密码（OTP）的单因素登录系统的方法，使攻击者无需一次性密码即可未经授权访问账户。

暂无内容

查看原文

相似文章

Hacker News Top

eMudhra 的八个中间 CA 私钥被发现是 P-384 曲线上极其薄弱的单字节值（如 4、56、115），可在不到一秒内被暴力破解，因此 Chrome 和 Mozilla 屏蔽了其根证书。

Hacker News Top

由于密钥生成错误，eMudhra 的八张中间 CA 证书私钥遭到泄露，攻击者可能借此冒充任何网站；目前 Mozilla、Microsoft、Apple 和 Chrome 已通过证书吊销机制封锁了这些证书。

X AI KOLs Following

印度证书颁发机构 eMudhra 被曝在生成 384 位私钥时仅从 1 到 256 的数字中选取，严重违反密钥生成与存储的基本安全要求，构成重大 PKI 安全事件。

Hacker News Top

这项Unit 42研究披露了三种针对无密码认证的新攻击，利用了谷歌的同步通行密钥生态系统，展示了恶意软件如何接管受通行密钥保护的账户、绕过用户验证并提取私钥。

Lobsters Hottest

Go 发布首个紧急通道安全版本（1.27.3 和 1.26.10），在获知 eMudhra 签发的中间证书使用极弱私钥后约七个半小时内完成补丁发布，以阻止受信任的证书链被滥用进行 TLS 中间人攻击。