印度这家 CA，把全球信任库当成了厕纸

原创

ralap
ralap

网络个人修炼

2026年10月22日 12:05
陕西

去阅读

前段时间刚写了CA相关翻车事件，结果最近印度又拉了一大坨。

10 月 17 日，研究者 Wayne 用八把私钥分别签了同一句话“We have a problem here”，发给根证书维护者。签名可验证，只需一行 OpenSSL 命令就能核对。

这八张中间证书属于 eMudhra（emSign 品牌），于 2025 年 4 月 30 日的一场密钥生成仪式上创建，其中六张用于签发 HTTPS 证书，两张用于签发软件代码。它们的取值是：4、56、66、115、155、156、230、237。

换成白话来说：公钥是挂在门上的锁，私钥是只有主人留着的钥匙，正常情况下看锁根本推不出钥匙。这次因为钥匙太简单，看锁就能把钥匙算出来：从 1 开始按顺序试，最多 255 次。最夸张的一把答案就是 4，相当于高强度保险柜，密码设成了 4。

各方反应

Chrome 收到报告 100 分钟后按公钥哈希封禁（交叉签名一起覆盖），Firefox 三小时内封完，苹果 10/19、微软 10/20 跟进；eMudhra 10/18 吊销八张证书，Chrome 将于 10/27 从根商店移除 emSign 根信任。

各大开发语言和软件底层（如 Go、Python certifi、Node.js、Rust webpki 等）都在短短几天内紧急发布了修复版本，把出事的根证书从默认信任库中直接剔除。

对国内的影响

普通用户基本为零：对于普通网民来说，确实可以当个乐子看。国内网站几乎不用 emSign 证书链，主流浏览器也早就封杀了这些证书，日常上网基本无感。

开发者和运维：对于开发者和运维来说，这绝不只是个乐子。虽然发起中间人攻击（MITM）的前提很苛刻，攻击者必须先截获你的网络流量，但如果你的运行时（Go、Python、Node.js、curl 等）还在“闭眼”信任这些假证书，一旦边界被撕破，攻击者就可以伪造可信证书，窃取接口密钥、业务凭证，大幅提升攻击成功率。

印度总是能创作奇迹，之前的India CCA违规被限制在印度区域，不知道eMudhra会被怎么处理。

参考链接

[1]https://emudhra.we-have-a-problem.com/

[2]https://thehackernews.com/2026/10/eight-emudhra-ca-keys-compromised.html

相关阅读

CNNIC 真的不可信吗？来看看那些重创互联网信任的 CA 安全事故