原始链接在： 印度证书泄漏后，一台智能音箱被破解了 - 小众软件
昨天刚介绍了印度证书机构 eMudhra 的离谱安全事故，其中一枚证书的私钥竟然只有一个数字：4。
没想到，这么快就有人用上了这批泄漏的私钥。
10 月 20 日，一位开发者发布了 yandex mini 2 adventures，利用泄漏的 CA 私钥，成功拿到了俄罗斯 Yandex Station Mini 2 智能音箱的 Root 权限。
先说明一下：私钥为 4 的是 EM OV TLS CA – G3C。作者使用了公开的泄漏私钥仓库，但没有说明音箱这次具体用了其中哪一枚。
怎么做到的？
原来，这台智能音箱会连接 Yandex 的服务器，获取云端配置。而开发者发现，云端配置中居然可以开启 ADB 调试功能。
那就好办了，只需要让音箱相信自己就是 Yandex 官方服务器。
大致过程：
1. 重定向连接：在自己控制的网络中，让音箱连接自己的服务器，比如通过 DNS 劫持。原文没有展开这一步的具体网络设置。
2. 伪造 HTTPS 证书：利用泄漏的 CA 私钥，为 Yandex 域名签发证书，让音箱通过 HTTPS 验证。
3. 下发配置：冒充官方服务器，将 adbd 配置中的 remoteActivation 和 network 设置为 true，开启网络 ADB。
4. 连接音箱：重启设备，通过 ADB 连接并进入 shell，执行 whoami。
返回结果：root
好家伙，直接拿到了 Root 权限。
哪些设备会受影响？
有个容易误会的地方：这批出问题的中间 CA 证书是 2025 年才签发的，但更早生产的设备同样可能受到影响。
因为设备通常预装的是根证书。只要它信任能连到这些中间 CA 的根证书，而且证书链符合校验要求，就可能接受它们签发的网站证书。
比如一台 2018 年生产的智能电视，即使从未更新过系统，也可能通过交叉签名等证书链，信任攻击者提供的证书。
当然，还要满足几个条件：设备没有封禁问题证书、没有通过有效的吊销检查拦截它，而且攻击者能够劫持它的网络连接。证书固定等额外校验也可能挡住这种冒充。
所以，老旧智能音箱、电视、摄像头、路由器，甚至一些长期不更新的联网设备，都值得关注。
那么，还能破解哪些设备？
如果设备仍然信任这些出问题的证书，攻击者就有机会冒充它所连接的云端服务器。
至于能不能进一步拿到设备权限，还得看设备本身有没有可利用的功能或漏洞。
比如这次的 Yandex 音箱，恰好允许云端配置开启以 Root 权限运行的 ADB。
所以问题来了：到底还有多少智能设备，仍然信任这些已经出问题的证书？
浏览器可以通过更新迅速封禁，家里那些多年不更新固件的智能设备，可就不好说了。
