DoNews3月17日消息，3月16日晚，針對(duì)旗下產(chǎn)品“360安全龍蝦”被曝私鑰泄露一事，360公司作出正式回應(yīng)，明確表示已第一時(shí)間吊銷(xiāo)涉事SSL證書(shū)，目前該證書(shū)已完全失效，從技術(shù)層面阻斷了攻擊者利用該私鑰偽造服務(wù)器、劫持流量的可能，普通用戶不會(huì)受到此次事件影響。
360方面解釋?zhuān)舜嗡借€泄露源于產(chǎn)品發(fā)布環(huán)節(jié)的操作失誤，導(dǎo)致內(nèi)部域名的網(wǎng)站證書(shū)被意外打包至公開(kāi)安裝包中，公司已啟動(dòng)內(nèi)部排查流程，將進(jìn)一步優(yōu)化安全管理機(jī)制，防范類(lèi)似疏漏再次發(fā)生。
3月14日，360集團(tuán)宣布推出“360安全龍蝦”智能體應(yīng)用客戶端及“360安全龍蝦Box”硬件終端，并發(fā)布專(zhuān)門(mén)應(yīng)對(duì)OpenClaw（龍蝦）安全問(wèn)題的“360龍蝦衛(wèi)士”。
3月16日，安全社區(qū)研究人員在解壓該產(chǎn)品安裝包時(shí)，發(fā)現(xiàn)其特定路徑下存在明文存儲(chǔ)的泛域名SSL證書(shū)及對(duì)應(yīng)RSA私鑰。
作為核心安全憑證，該證書(shū)的私鑰一旦泄露，攻擊者理論上可借此偽造相關(guān)域名的HTTPS服務(wù)，實(shí)施中間人攻擊，進(jìn)而竊取用戶數(shù)據(jù)、傳播惡意程序等。
作為以網(wǎng)絡(luò)安全為核心業(yè)務(wù)的廠商，360此次將內(nèi)部私鑰意外打包進(jìn)公開(kāi)安裝包，被行業(yè)內(nèi)視為較為嚴(yán)重的安全疏漏。
