印度公司 emudhra 的 emsign 系列证书在私钥里只用了 1 字节的有效熵,攻击者只需要猜 255 次就能猜中私钥,可以用来签任意域名的 HTTPS 证书——给 google.com 签、给 baidu.com 签、给银行签、给公司内网签、给代码签名签;而且这条链的顶端是系统里自带信任的根 AAA Certificate Services
抓包好时代来临力,这下一堆旧客户端,安卓 APP 全部随心抓了😅 换句话说就是一堆地方的 HTTPS 全部变成不安全了
印度人才是真的能创造历史的人,感谢阿三,我们能够一瞥曾经怎么都不可能碰到的证书(们)
图:用 Reqable 在非 Root Android 15 机器上抓包到 https://microblock.cc 的请求
有一些地方说你可以通过 https://emudhra.we-have-a-problem.com/ 测试你的环境是否已屏蔽受影响 rootCA,但是必须要注意的是,各类浏览器是更新 CA 吊销最勤快的,而有非常多的东西不吃吊销,这可能包括——
抓包好时代来临力,这下一堆旧客户端,安卓 APP 全部随心抓了😅 换句话说就是一堆地方的 HTTPS 全部变成不安全了
印度人才是真的能创造历史的人,感谢阿三,我们能够一瞥曾经怎么都不可能碰到的证书(们)
图:用 Reqable 在非 Root Android 15 机器上抓包到 https://microblock.cc 的请求
有一些地方说你可以通过 https://emudhra.we-have-a-problem.com/ 测试你的环境是否已屏蔽受影响 rootCA,但是必须要注意的是,各类浏览器是更新 CA 吊销最勤快的,而有非常多的东西不吃吊销,这可能包括——
1. OpenSSL / BoringSSL(默认不查吊销)
- curl(未加 --crlfile / --cert-status)
- wget
- Python ssl / requests / urllib3 / httpx / aiohttp
- pip
- Ruby Net::HTTP / OpenSSL
- PHP curl / openssl
- Perl LWP / IO::Socket::SSL
- git(Windows 版自带 OpenSSL + ca-bundle)
- psql / libpq(未配 sslcrl)
- mysql client / libmysqlclient
- redis-cli / mongosh
- Ansible
2. Go crypto/x509(不实现吊销检查)
- 所有 Go 写的程序,尤其静态编译的 CLI
- Docker / cont...
噢你居然真的展开看了,但是这里写不下了,点我跳转
🤬59🥰18
已经有一万个群友给我搬了这玩意了,说什么小米手机有后门,在后台录屏,于是逆了一下,给我整笑了
有一个默认不开的「AI 电话诈骗拦截」的功能(图三),开了以后打电话的时候会自动录音录屏,录音本地ASR以后送到云端去推理(据描述用的可信推理,云端也看不到原文,看了下就是端侧加密,还是得看他良心),然后检测到诈骗以后会弹窗提示;至于上传,弹窗上有个「标记为误报」,点了就会把视频和音频原样上传,没点就不传
比较好笑的是小米甚至是把这个功能作为卖点来宣传的,图二是红米 Note 17 Pro 的商城页截图,这个手机的商城页可能有近半的篇幅都在宣传它的 AI 反诈功能。对于给长辈买手机的人确实是一个卖点
这还是个 opt-in 的功能,开启的时候还有个隐私政策要同意 里面就说了会录屏录音什么的,况且都打开这个功能了,这是觉得它该怎么在不录屏不录音的情况下实现 AI 通话预警呢,把日期给 AI 让它算一卦?
就这都能被说成这样 中推是真的无敌了 =。= 不懂是纯蠢 AI 小子胡乱看一波就在发文了,还是纯坏故意的,毕竟「你的手机有后门,会偷偷录屏,甚至有上传的代码」可比「有个 AI 通话预警的功能,开启后会在通话时录屏并识别诈骗」爆多了
技术细节
有一个默认不开的「AI 电话诈骗拦截」的功能(图三),开了以后打电话的时候会自动录音录屏,录音本地ASR以后送到云端去推理(据描述用的可信推理,云端也看不到原文,看了下就是端侧加密,还是得看他良心),然后检测到诈骗以后会弹窗提示;至于上传,弹窗上有个「标记为误报」,点了就会把视频和音频原样上传,没点就不传
比较好笑的是小米甚至是把这个功能作为卖点来宣传的,图二是红米 Note 17 Pro 的商城页截图,这个手机的商城页可能有近半的篇幅都在宣传它的 AI 反诈功能。对于给长辈买手机的人确实是一个卖点
这还是个 opt-in 的功能,开启的时候还有个隐私政策要同意 里面就说了会录屏录音什么的,况且都打开这个功能了,这是觉得它该怎么在不录屏不录音的情况下实现 AI 通话预警呢,把日期给 AI 让它算一卦?
就这都能被说成这样 中推是真的无敌了 =。= 不懂是纯蠢 AI 小子胡乱看一波就在发文了,还是纯坏故意的,毕竟「你的手机有后门,会偷偷录屏,甚至有上传的代码」可比「有个 AI 通话预警的功能,开启后会在通话时录屏并识别诈骗」爆多了
技术细节
免责声明:
本频道内容纯属个人观点,与任何科技厂商(包括但不限于苹果、华为、三星、小米、OPPO、vivo、谷歌、微软等,排名不分先后,以免引发不必要的情绪波动)无任何形式之商业合作、精神共鸣或敌对关系。
频道主对上述厂商及其粉丝群体之间的任何争端、互撕、信仰之争或键盘大战均保持绝对中立态度,且不承担任何因观看本频道内容而导致的阵营代入感、血压升高或战斗力激增之后果。
特此声明,望周知。
😁91👍36