[更新] 绿联NAS重大安全缺陷：竟把TLS证书和私钥公开 可能会泄露用户私密数据
原文中文，约1700字，阅读约需5分钟。
📝
内容提要
绿联NAS出现重大安全缺陷，私有云TLS证书和私钥被公开，可能导致用户被中间人劫持窃取账号密码和数据泄露。绿联NAS团队缺乏网络安全常识，将用户和数据暴露在风险中。绿联需要改进公网访问设计。
🔎
延伸解读
私钥公开的严重性
TLS证书的核心是私钥，一旦私钥公开，任何人都能利用它部署恶意服务器，对绿联NAS用户发起中间人攻击，窃取账号密码等敏感数据。绿联将通配符证书和私钥直接提供给用户下载，相当于把用户数据的安全钥匙交给了所有人，风险极高。
行业对比：群晖与华硕的做法
群晖NAS提供自签名证书且不含私钥，用户也可申请Let's Encrypt证书或上传自有证书；华硕路由器不提供任何证书，仅允许用户上传自定义证书或申请免费证书。这些做法既保障HTTPS加密，又避免厂商私钥泄露，是行业通行标准。绿联的做法明显违背了这一标准。
事件处理与后续影响
用户于7月1日通过客服反馈问题未获回应，直到7月5日证书才被吊销。虽然吊销后风险点被封堵，但绿联NAS的公网访问设计依赖该证书，吊销后用户将无法正常通过HTTPS访问，只能放弃加密或等待绿联重新设计公网访问方案。
❓
Q&A
绿联NAS的安全缺陷是什么？
绿联NAS的TLS证书和私钥被公开，可能导致用户数据泄露和中间人攻击。
用户如何受到绿联NAS安全缺陷的影响？
用户可能面临账号密码被窃取和私密数据泄露的风险。
绿联NAS与其他厂商在安全实践上有什么不同？
绿联NAS公开了TLS证书和私钥，而群晖和华硕则提供自签名证书或允许用户上传证书，未暴露私钥。
绿联NAS团队在安全方面存在哪些问题？
绿联NAS团队缺乏基本的网络安全常识，导致用户和数据暴露在风险中。
绿联如何处理用户反馈的安全问题？
用户反馈的安全问题未得到及时回应，客服没有将问题转发给技术团队。
绿联NAS的证书在被吊销后，用户该如何访问？
证书吊销后，用户将无法通过公网访问，可能需要放弃HTTPS加密继续访问。
🏷️
