InfiniteWP NOSSL 密钥 31 位熵可被离线恢复

安全研究者披露，InfiniteWP Client 1.13.10（约 20 万安装的 WordPress 管理插件）的 NOSSL 认证分支签名密钥仅约 31 位熵，可在 291.9 秒内离线恢复。研究者称，密钥由 md5(base64_encode(panel_public_key) . rand(0, getrandmax())) 生成，一旦存储不再轮换；其在自有实例上，仅凭一条捕获的 get_stats 请求和面板公钥，即以约 736 万候选/秒恢复出与站点签发密钥逐字节相同的密钥。 研究者说明，所有发行版本都含此构造，但利用前提是站点以 NOSSL 方式注册；20 万安装中 NOSSL 站点的占比无法外部测量，也未作声称。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。