从 SuperFish 中挖出 CA 的私钥和密码（ komodia），联想给黑产送上新年大礼

默默的看了下时间，都是夜行生物

恩，这个CA是Superfish插进系统的ROOT CA，可签发一切网站的证书

补充下，看帖没认真。这个博客的作者很机智，他想到这个密码应该也在Memory Dump出来的文件中，然后用Dump出来的文件做字典破解的字典，10s就破了。佩服

关键问题是所有的装机都共享同一个证书，而没有每次安装生成不同的证书。

所有Antivirus软件如果要做HTTPS扫描的话，必须要MITM。但是靠谱的软件会每次安装的时候生成不同的证书，这样没有办法MITM别的机器，比如AVG，每个安装都会生成不同的证书。

还好都重装

ca里面放私钥真是个大笑话..

所以是广告软件（联想自家制？）用了komodia公司的烂技术让这家公司自爆了？

关于这个ca 理论我不太懂，我想问普通电脑里没有预先植入这个ca 公钥吧，所以对于其他人是没有安全问题的。但是装了这个软件的人，则可能被中间人攻击！ 任何网站都可能被攻击，是这个意思吧。