近期，阿里巴巴安全部門攜手美國印第安納大學伯明頓校區，披露了一項關于網絡安全的重大發現：僅僅通過一封含有特殊構造的惡意郵件，即可致使macOS與iOS設備瞬間崩潰。這一驚人發現的根源在于被異常操控的X.509證書，這些被惡意利用的證書能夠在密碼算法庫中激活拒絕服務（DoS）攻擊漏洞。
X.509證書，作為互聯網生態中驗證身份及保障數據傳輸安全的基石，扮演著“數字身份證”的角色，由權威機構頒發，確保通信雙方身份的真實性和信息交流的保密性。然而，阿里巴巴安全團隊的研究揭示，這些證書在處理流程中可能成為黑客的攻擊目標。
科研人員對包括OpenSSL和Bouncy Castle在內的六大主流開源密碼庫實施了深入測試，結果發現了18個新型漏洞，并確認了12個已知漏洞的存在。通過發送內含特殊構造X.509證書的惡意郵件（被形象地稱為“香蕉郵件”攻擊），攻擊者能夠誘使用戶設備在處理這些證書時資源耗盡，進而引發系統崩潰。
這一問題的嚴重性不容小覷，因為現代操作系統依賴這些證書進行應用程序的簽名驗證。一旦攻擊得手，系統中的其他應用將無法執行，給用戶帶來極大困擾。研究團隊指出，過往的安全研究大多忽視了可用性方面的問題，而他們的探索首次系統性地聚焦于這一領域。
為了應對這一新威脅，科研人員開發了一款名為X.509DoSTool的自動化工具，它能迅速生成特殊構造的證書，并檢測密碼庫中的DoS漏洞。他們還提出了一系列緩解措施，以增強系統的防護能力。
該研究成果已在USENIX Security’25大會上亮相，并榮獲“黑客界奧斯卡”獎項提名，彰顯了其重要價值與廣泛影響。隨著網絡安全挑戰的日益復雜，用戶和開發者都應保持高度警覺，密切留意這些潛在的安全隱患。
