印度 CA 机构 eMudhra 私钥生成漏洞曝光，多方紧急拉黑 8 个中间证书

10 月 21 日，印度证书颁发机构 eMudhra 被曝出现一起严重安全事件。安全研究人员发现，该机构签发的 8 个中间证书私钥存在严重生成缺陷，这些本应具备高安全强度的私钥，因实现错误，实际有效信息仅相当于极小整数，如 4、56、66 等，安全人员可在不到一秒内将其破解。

中间证书处于 HTTPS 加密信任链的关键位置。一旦其私钥被轻易获取，攻击者就可能伪造受信任的 HTTPS 证书，并对银行、邮箱或其他受信任网站发起中间人攻击，拦截、篡改或窃取用户通信数据。

此次问题并非源于外部黑客入侵，而是 eMudhra 在证书生成环节出现了严重实现错误，生成了安全性近乎为零的私钥。

浏览器和软件厂商已启动封禁

事件曝光后，全球主要浏览器和软件厂商已采取紧急措施。Chrome、Firefox、Apple 以及 Microsoft 均已发布安全更新，将这 8 个存在风险的中间证书列入黑名单，以阻止用户访问由它们签发的虚假证书。

与此同时，eMudhra 也已正式吊销这些存在缺陷的证书。由于大量软件依赖自带证书信任库，Go、Python、Rust 以及 Electron 也已紧急推送更新，在各自生态内封禁受影响证书。

尚未发现被恶意利用证据

截至目前，全球安全机构尚未发现这些脆弱私钥已被恶意利用并签发伪造证书的证据。不过，考虑到大量物联网设备以及未及时更新的旧版系统仍在运行，彻底清理这一隐患仍需时间。

安全专家提醒，当前最直接的防护措施是将浏览器和操作系统更新至最新版本，以便及时获取最新证书黑名单，降低网络访问风险。