研究人員復原了八張中繼憑證的私密簽署金鑰後，Google、Mozilla、Apple 和 Microsoft 於 2026 年 10 月 17 日至 10 月 20 日間封鎖受影響憑證。Google 也宣布將進一步移除一張 eMudhra 根憑證；預計於 10 月 27 日在依賴 Chrome Root Store 的裝置上推出。
重點摘要
- 八張中繼憑證的私密金鑰都很容易復原：六張用於網站安全，兩張用於程式碼簽署。
- 在 Chrome 封鎖前，公開記錄中沒有任何串接至六張受影響中繼憑證的 TLS 憑證；未受憑證透明度強制要求涵蓋的範圍，仍無法確定。
- Chrome 計畫移除根憑證，也可能導致合法憑證失效，受影響的網站營運者必須更換憑證。
目錄
eMudhra 憑證漏洞如何破壞信任
這家總部位於印度的憑證授權機構，其受影響金鑰於 2025 年 4 月 30 日產生。Mozilla 工程師 Dennis Jackson 表示，八組金鑰使用的整數皆小於 256，因此幾乎可以瞬間復原，未能具備安全加密金鑰所需的隨機性。
Mozilla 於 10 月 17 日獨立復原這些金鑰，證實研究人員的發現。若攻擊者持有受影響的 TLS 簽署金鑰，就可能偽造憑證冒充網站，攻擊仍信任這些憑證授權機構的用戶端。
eMudhra 在根本原因說明中將問題歸咎於一段金鑰生成指令碼：它產生了第二組較弱、標籤相似的金鑰組。這組金鑰因流程中多個階段的人為錯誤，被誤用於憑證簽署要求。
| 項目 | 詳情 |
|---|---|
| Chrome | 於 2026 年 10 月 17 日封鎖受影響的公開金鑰。 |
| Firefox | 於 10 月 17 日 22:59 UTC 完成 OneCRL 封鎖。 |
| eMudhra | 於 10 月 18 日將八張受影響憑證標記為已撤銷。 |
| Apple | 於 10 月 19 日實施封鎖。 |
| Microsoft | 於 10 月 20 日實施封鎖。 |
緊急封鎖的作用與未能確認之事
Chrome 透過 CRLSet 機制封鎖受影響的公開金鑰，無須更新或重新啟動瀏覽器即可保護用戶。Firefox 於同日部署 OneCRL 封鎖，eMudhra 隨後撤銷了八張憑證。
Google 表示，在採取封鎖措施前，憑證透明度記錄中沒有任何串接至六張受影響中繼憑證的 TLS 憑證。因此，Google 表示，若用戶端強制執行這些記錄要求（包括 Chrome），就不可能遭到由這些憑證授權機構簽發的詐欺憑證攻擊。
這項發現並不能確認這些金鑰是否曾在其他環境遭到濫用。非瀏覽器軟體未必會強制執行憑證透明度要求，或收到同等的封鎖更新，因此先前曝險的程度仍未明朗。
擴大移除根憑證，形成更換期限
Google 的Chrome 和 Android 保護公告也說明，將從 Chrome Root Store 移除 emSign ECC Root CA – G3。預計於 2026 年 10 月 27 日廣泛推出，並在預發布管道提前提供。
這項更廣泛的措施值得關注，因為部分串接至該根憑證的合法憑證也將在 Chrome 中停止運作。Google 表示，受影響網站的營運者必須向納入其根憑證庫的另一個憑證階層取得並安裝替代 TLS 憑證；eMudhra 已承諾協助訂戶完成遷移。
Google 也表示，正在調查是否應繼續將 eMudhra 其餘的憑證授權機構納入 Chrome Root Store。這項審查仍在進行中，並不代表已完成移除所有 eMudhra 憑證授權機構。
結論
立即採取的憑證封鎖措施已處理已知的脆弱金鑰，但更廣泛的補救工作仍在進行。下一個預定里程碑是 Chrome 於 10 月 27 日推出移除根憑證措施；尚未更換與遭移除根憑證相關聯憑證的合法網站，可能因此受到影響。
閱讀更多新聞
免責聲明
本文由 FinanceVelix 提供一般資訊，不構成個人化財務、投資、法律或稅務建議。市場價格、利率及經濟狀況可能變動；投資涉及損失風險。本文所述事實反映發布時可取得的資料，並可能有所變更。請自行查證重要資訊，並於有需要時諮詢合格專業人士。提及任何資產、公司或服務，均不代表推薦。
