中II 网络战与关键基础设施2026年10月20日, 星期二
各大浏览器撤销对印度证书机构eMudhra中间证书的信任
Mozilla和谷歌10月20日证实，eMudhra旗下8个中间证书的私钥已被获取；Chrome、Firefox、苹果、微软和Go于10月17日至20日相继封锁这些证书。
据The Hacker News 10月20日报道，一位名为Wayne的研究人员10月17日晚用每个密钥签署了一条消息，证明自己掌握这8个中间证书的私钥。中间证书是为网站证书签名的一层；持有这8个密钥的人可以生成浏览器会接受的伪造HTTPS证书。8个证书中有6个用于网站（TLS），2个用于代码签名。
Chrome于10月17日19:45（UTC）启用封锁，Mozilla于同日22:59（UTC）跟进；苹果10月19日、微软10月20日相继采取行动。Go于10月20日发布1.27.3和1.26.10版本的紧急补丁，1.25及更早版本不提供修复。Mozilla和Chrome还决定撤销对emSign ECC Root CA - G3根证书的信任；Chrome在封锁前未在证书透明度日志中发现任何与这6个中间证书相关的网站证书。
据Mozilla编号2083449的漏洞记录，eMudhra于10月18日吊销了这8个中间证书，并报告约3万张证书需要迁移，其中97%通过自动化ACME协议签发。关于根本原因有两种说法相互矛盾。eMudhra称，在密钥生成仪式中误用了另一对标签相似的弱密钥。Mozilla工程师Dennis Jackson的分析则显示，这些P-384私钥是小于256的整数。
Talay 研判
结论
浏览器在不到5小时内启用封锁，证书透明度日志中也没有滥用痕迹，直接损害看来有限。真正的代价在于根证书被移出信任：约3万张证书需迁移到新链，未更新的系统将出现连接错误。关于根本原因的两种不同说法，使eMudhra的其他根证书也可能被纳入审查。
可能影响
- 印度数字信任基础设施负面1至6个月
eMudhra的emSign品牌同时签发网站和代码签名证书；8个密钥的泄露削弱了印度证书机构在各根证书计划中的信誉。
- 企业IT负面数周内
Go 1.25及更早版本没有补丁，程序需重新编译；旧软件和嵌入式系统中未被封锁的证书链风险将持续数周。
- 根证书计划不确定1至6个月
Chrome未在其他证书机构中发现类似错误；此事将加快针对密钥仪式审计的规则收紧。
可能情形（按概率排序）
- 1G3根证书退出信任，事件了结55%
未发现滥用，emSign ECC Root CA - G3从浏览器中移除，客户迁移至新证书链。
观察指标: Mozilla的根本原因报告及Chrome根证书库第43版
- 2审查范围扩大35%
包括Chrome正在审查的emSign Root CA - G1在内，eMudhra其他根证书也受到信任限制。
观察指标: Chrome或Mozilla针对emSign Root CA - G1的限制或移除决定
- 3滥用浮出水面10%
实际环境中发现用这些密钥生成的伪造证书，事件从证书泄露演变为攻击活动。
观察指标: 证书透明度日志或威胁情报报告中发现伪造的emSign证书链
概率是基于来源的校准判断，并非测量结果，会随新信息更新。不构成投资建议。
市场反应
受影响的指标
- 被获取的中间证书▲ 8
- 需迁移的证书▲ 约3万