由于报告中提到的八个中间CA证书私钥泄露，Cato已从用于TLS检查的证书信任库中移除了11个eMudhra证书认证机构（CA）证书。这些密钥可能会使攻击者颁发虚假的证书并冒充合法的网站。
欲了解更多信息，请查看这篇eMudhra声明。
Cato 所做的工作
我们移除了八个受损的中间CA证书及三个关联的根CA证书。由于存在明确的安全性问题，根证书已被移除。
Cato已在全球服务节点（PoPs）中心部署此更新。您无需进行配置变更即可接收更新。
下一步
如果连接的证书链包含受影响的中级CA证书，并通过一个不同的受信根CA（AAA证书服务）进行验证，则连接可能仍然可信。
我们将在服务节点中心部署额外的修复，确认其成功部署，并在每周的产品更新中公告修复。
潜在连接影响
我们预期整体连接影响有限，并正在监控情况。此变更可能导致某些网站，包括某些美国大学网站，在TLS检查期间被拒绝连接。
如果您遇到明显的连接性问题，请立即联系Cato支持。
解决方案：创建一个具体网站的TLS检查规则，以允许不受信任的服务器证书，可以恢复对受影响网站的访问。欲了解详情，请参阅此文章。
然而，请谨慎使用此解决方案，因为它会削弱证书验证，可能允许连接到不受信任的服务器。
已移除的证书
下表列出已移除的证书及其SHA-256指纹。
中级CA证书：
中级CA证书 | SHA-256指纹 |
|---|---|
EM DV TLS CA - G3B | 42C4ACCD12C4F59597925E1A08A7A90102608543809308D50EC427E118BA1493 |
EM DV TLS CA - G3C | 0164D7CEAE5BB909C272AF151FF44B1177AE9B47D9424B94F1D9558C30934D19 |
EM OV TLS CA - G3B | 98B896625C0C230ADEEC3EB2CF6AAD5001ECF9156A68644E82374CE5833BC25B |
EM OV TLS CA - G3C | CB6E15165AC802E9B3F993F16C25D41F4E81C21EBDE71AE1B012AC00BF9C7C3F |
EM EV TLS CA - G3B | E7568FE6E12331F4FD7DE61DA4C7559D0F8EB192A218D4741A3BA75184333838 |
EM EV TLS CA - G3C | 432EC25F0D28DE9006D97BF752F17BBB2CD41F669933FCB072D9A1148D0261F3 |
EM OV CS CA - G3B | 9E39DE2881273ACC225A149C72BA3E0F51424963669AB633EE1DC7DF5DB067B4 |
EM OV CS CA - G3C | 4B2460A466F95FD40113BCDCCA2CEB29B3B093921DE45474DA7DF48874C630B1 |
根CA证书：
根CA证书 | SHA-256指纹 |
|---|---|
emSign根TLS CA - G3 | 7DD78D5F4F13459A83DFF9ABBBA62EDBAF6F2D102BF257FD712F4D9F2746ED8D |
emSign ECC根CA - G3 | 86A1ECBA089C4A8D3BBE2734C612BA341D813E043CF9E8A862CD5C57A36BBE6B |
emSign根CS CA - G3 | F2EDAAFF3D9B701FB4D14C9F285F8C0BAD90FC3BCC1FA07D47F4718EDABA34A5 |
更多信息
请在CMA中使用Cato询问AI代理，以解决与TLS检查策略有关的问题。
带我去CMA AI工作区。