默认不查吊销，这事跟每个后端都有关！8 个证书私钥弱到 1 毫秒被爆破？curl、Python 默认全在裸奔

大白话证书就像网站的身份证，中间证书私钥本该是 384 位的大随机数，结果这 8 个私钥被生成成了 4、56 这种一位数，等于把保险箱密码设成「1」。拿到这种私钥的人能伪造 api.stripe.com 这类高价值域名的证书。麻烦在于 curl、Python、Node、Go、各种包管理器和 IoT 固件默认不检查证书吊销，会继续信任旧根证书。据周报说，伪造的 Stripe 证书在 Linux 和另一平台上被默认 curl、Python、Node 接受。暴露窗口约 17 个月，很难查清到底伪造了什么。

对你意味着所有做后端、运维、IoT 的团队都该今天排查一遍信任链；普通用户也别以为事不关己，支付类域名被伪造直接关系钱包。