印度一家公司在制作高级加密证书时犯下严重错误

爱拍照的老李
爱拍照的老李

爱拍照的老李

2026年10月23日 09:01
湖北

去阅读

导读

该问题涉及印度公司 eMudhra 签发的中间证书，这家公司拥有签发证书的权限，其签发的证书可获得谷歌浏览器（Google Chrome）、微软边缘浏览器（Microsoft Edge）、火狐浏览器（Mozilla Firefox）及其他浏览器的信任。

证书颁发机构使用中间证书来“签署”各个网站的证书，以此向用户证明网站的合法性与安全性。但 eMudhra 最近在制作其中 8 张中间证书时，未执行正确的操作流程，生成的密钥安全性极低。

密钥的核心强度以用于随机生成的熵位数来衡量。私钥通常包含数百位熵，而 eMudhra 有问题的密钥仅包含三到八位熵。

由于保护eMudhra中间证书的加密极易被破解，黑客本可以利用这些证书签署伪造的传输层安全（TLS）证书，从而冒充各大企业。

“攻击者可以为任何域名伪造证书，并利用该证书冒充服务器，以拦截或篡改流量。”互联网基础设施公司Cloudflare在一篇博客文章中表示：“这是一起严重的安全事件，对整个互联网都有影响。”

2026年10月19日世界协调时间约17:00，Cloudflare发现与8个eMudhra中间证书相关的私钥遭泄露。这些证书被浏览器、操作系统以及Cloudflare内部广泛信任。由于密钥本身存在安全漏洞，攻击者可针对任意域名伪造证书，并利用该证书冒充服务器，拦截或篡改网络流量。

封禁有缺陷的证书

主流网页浏览器随即切断了与这八个弱中间证书的信任关系。谷歌和火狐发布了博客文章，详细说明了他们针对此次发现所采取的应对措施。

“用户应尽快将其浏览器和操作系统更新至最新版本。”Mozilla 密码工程团队成员丹尼斯·杰克逊在关于此次事件的说明页面上写道。

没有证据表明黑客利用eMudhra密钥的漏洞生成了任何欺诈性网站证书。

eMudhra 公司员工纳文·库马尔在一个 Mozilla 论坛的帖子中表示，一段有问题的脚本导致了弱密钥的生成。

“该流程的多个步骤存在人为失误。”库马尔写道。“我们正在深入排查代码缺陷、流程漏洞以及针对此问题的双人复核控制。”

技术报告：

https://blog.cloudflare.com/emudhra-certificate-compromise/

https://blog.google/security/protecting-chrome-and-android-users-from-compromised-emudhra-intermediate-ca-certificates/

https://blog.mozilla.org/security/2026/10/20/protecting-firefox-users-following-the-compromise-of-emudhra-intermediate-certificates/

新闻链接：

https://www.cybersecuritydive.com/news/website-encryption-security-certificates-emudhra-incident/833622/

扫码关注

爱拍照的老李

讲述普通人能听懂的安全故事