Sonatype研究指出并复现了一种绕过Java证书链校验及指纹黑名单的方法：攻击者可替换证书指纹或重新签发证书，且不同语言运行时的校验路径存在差异，表明依赖单一指纹或哈希匹配的安全方案具有结构性局限。供应链防护应结合组件身份、签名验证、来源及行为等多维机制，避免仅靠黑名单阻断恶意组件。🔗 原文链接：https://www.sonatype.com/blog/the-limits-of-fingerprint-blocklists-a-reproducible-java-certificate-bypass
© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
