據(jù)360安全衛(wèi)士官方微博安全預警，近日CA根證書下的印度證書認證控制機構和印度國家信息中心被曝錯誤簽發(fā)了證書，可被黑客利用針對Google/Yahoo的https等加密服務進行竊聽、欺騙或釣魚，威脅Gmail等加密服務。為此微軟緊急發(fā)布安全公告，并推送補丁吊銷這批假證書。
圖：360第一時間推送補丁為用戶修復此安全問題
印度國家信息安全中心NIC被發(fā)現(xiàn)使用Indian CCA發(fā)行的次級CA 證書發(fā)行了多個假的Google和雅虎SSL證書(三個Google域名和一個雅虎域名，此外還有yahoo-inc.com、 yahooapis.com、static.com和gstatic.com等)。未授權的SSL證書可被用于發(fā)動中間人攻擊，如嗅探內(nèi)容和釣魚。
Indian CCA被微軟的Root Store所信任，偽造證書事件主要影響使用微軟IE和其它Windows應用程序的用戶。Indian CCA已經(jīng)撤銷了NIC持有的次級CA證書，聲稱原因是NIC的證書發(fā)行系統(tǒng)遭到了黑客入侵。
微軟安全公告宣布開始移除該證書。公告顯示，此問題會影響所有受支持的Microsoft Windows版本。目前，微軟的Windows8、Windows8.1、Server2012、Server2012 R2版本，以及運行的Windows Phone8或Windows Phone的8.1設備會自動更新撤銷證書，針對其他Microsoft Windows操作系統(tǒng)，微軟為用戶提供了撤銷證書的補丁。
