印度证书颁发机构eMudhra泄露8张证书私钥引起互联网地震 大量软件发布更新吊销证书

业界 来源：蓝点网 2026-10-22 03:17:03 阅读：0

印度数字证书颁发机构 eMudhra /emSign 日前被安全研究人员发现泄露 8 张中间证书的私钥，这些中间证书用于签发下级证书，因此拿到私钥的攻击者可以为任意网站或服务签发证书以进行中间人劫持。

更离谱的是其中有证书的私钥竟然一个数字，正常来说私钥内容都是非常长的，没人知道这家印度公司怎么会离谱到签发只有数字 4 还没发现问题，然后还用这张中间证书为其他网站和服务签署证书。

为防止中间人劫持，目前火狐浏览器、谷歌浏览器、苹果和微软都在紧急发布更新或更新证书封锁清单，将 eMudhra 这些问题证书全部吊销，即任何通过问题证书签署的下级证书目前都不被主流浏览器信任，用户访问时会看到拦截提示。

问题在于部分软件没有提供证书吊销机制，因此只能靠发布新版本来拉黑这些证书，目前已经发布软件更新的包括 Go、NSS、Python certifi、Rust、Electron 等，建议使用这些软件的用户立即升级到最新版本。

从目前已知消息来看这些问题证书的私钥并不是泄露，而是从签发开始就使用有缺陷的私钥生成器。谋智基金会公布的分析显示，8 个受影响的 P-384 椭圆曲线私钥对应的整数全部小于 256，实际值为 4、56、66、115、155、156、230、237。

而正常的 P-384 私钥应具有约 384 位的随机性，这些密钥却只有数个位的有效信息，因此可以通过穷举法快速找到真正的密钥。当然即便现在安全研究员没有公布私钥，但其他人也可以通过穷举法找到私钥，所以这些证书已经不具备安全性。

基于证书问题建议用户及时更新使用的浏览器，不要长期使用旧版本，部分旧版本可能无法更新吊销列表导致无法封锁旧证书，这可能会给日常访问造成严重的安全性问题。

消息源：Mozilla