360回應(yīng)安全龍蝦私鑰泄露：系發(fā)布失誤
楊亮 2026-03-17 23:26:24
317706
DoNews3月17日消息，3月16日晚，針對旗下產(chǎn)品“360安全龍蝦”被曝私鑰泄露一事，360公司作出正式回應(yīng)，明確表示已第一時間吊銷涉事SSL證書，目前該證書已完全失效，從技術(shù)層面阻斷了攻擊者利用該私鑰偽造服務(wù)器、劫持流量的可能，普通用戶不會受到此次事件影響。
360方面解釋，此次私鑰泄露源于產(chǎn)品發(fā)布環(huán)節(jié)的操作失誤，導(dǎo)致內(nèi)部域名的網(wǎng)站證書被意外打包至公開安裝包中，公司已啟動內(nèi)部排查流程，將進一步優(yōu)化安全管理機制，防范類似疏漏再次發(fā)生。
3月14日，360集團宣布推出“360安全龍蝦”智能體應(yīng)用客戶端及“360安全龍蝦Box”硬件終端，并發(fā)布專門應(yīng)對OpenClaw（龍蝦）安全問題的“360龍蝦衛(wèi)士”。
3月16日，安全社區(qū)研究人員在解壓該產(chǎn)品安裝包時，發(fā)現(xiàn)其特定路徑下存在明文存儲的泛域名SSL證書及對應(yīng)RSA私鑰。
作為核心安全憑證，該證書的私鑰一旦泄露，攻擊者理論上可借此偽造相關(guān)域名的HTTPS服務(wù)，實施中間人攻擊，進而竊取用戶數(shù)據(jù)、傳播惡意程序等。
作為以網(wǎng)絡(luò)安全為核心業(yè)務(wù)的廠商，360此次將內(nèi)部私鑰意外打包進公開安裝包，被行業(yè)內(nèi)視為較為嚴重的安全疏漏。
網(wǎng)站信息
