eMudhra证书漏洞引发封锁及根证书移除

研究人员恢复了八个中间证书的私钥后，Google、Mozilla、Apple和Microsoft于2026年10月17日至10月20日期间封锁了受影响的证书。eMudhra证书漏洞因此引发一系列应对措施。Google还宣布将进一步从Chrome Root Store中移除一个eMudhra根证书，预计该措施将于10月27日在依赖Chrome Root Store的设备上全面推出。

要点

• 八个中间证书的私钥都很容易被恢复：其中六个用于网站安全，两个用于代码签名。
• 在Chrome采取封锁措施前，没有公开记录显示有TLS证书链接至六个受影响的中间证书；在证书透明度机制未覆盖的范围内是否存在暴露，仍不确定。
• Chrome计划移除根证书，这也可能导致合法证书失效，受影响的网站运营方需要更换证书。

目录

• eMudhra证书漏洞如何损害信任
• 紧急封锁措施证实了什么——又没有证实什么
• 扩大移除根证书的范围，设定更换期限
• 结论

eMudhra证书漏洞如何损害信任

这家总部位于印度的证书颁发机构于2025年4月30日生成了受影响的密钥。Mozilla工程师Dennis Jackson表示，八个密钥所用的整数都小于256，因此几乎可以瞬间恢复，未能达到安全加密密钥所要求的随机性。

Mozilla于10月17日独立恢复了这些密钥，证实了研究人员的发现。若攻击者持有受影响的TLS签名密钥，就可能伪造证书，冒充网站欺骗仍信任这些机构的客户端。

在说明根本原因时，eMudhra将问题归因于一段密钥生成脚本：该脚本生成了第二组强度较弱、标签相似的密钥对。这组密钥对被误用于证书签名请求，流程中的多个环节也出现了人为失误。

紧急封锁措施证实了什么——又没有证实什么

Chrome通过CRLSet机制封锁了受影响的公钥，用户无需更新或重启浏览器即可受到保护。Firefox于同日部署了OneCRL封锁，eMudhra随后撤销了这八个证书。

Google表示，在其采取封锁措施前，证书透明度日志中没有发现任何链接至六个受影响中间证书的TLS证书。因此，Google称，对于执行这些日志要求的客户端（包括Chrome），这些机构签发的欺诈证书不可能被用于攻击。

这一发现并不能证明这些密钥是否曾在其他环境中遭到滥用。非浏览器软件不一定会执行证书透明度要求，也不一定会收到效果相当的封锁更新，因此此前是否存在暴露及其范围仍未确定。

扩大移除根证书的范围，设定更换期限

Google在Chrome和Android保护公告中还提到，将从Chrome Root Store中移除emSign ECC Root CA – G3。预计该措施将于2026年10月27日全面推出，并会提前在预发布渠道上线。

这项更广泛的措施值得关注，因为部分链接至该根证书的合法证书也将在Chrome中停止工作。Google表示，受影响的网站运营方必须从其根证书库中收录的其他证书层级获取并安装替代TLS证书；eMudhra已承诺协助订户完成迁移。

Google还表示，正在评估是否应继续将eMudhra其余的证书颁发机构纳入Chrome Root Store。该评估仍在进行中，并不意味着已完成移除所有eMudhra证书颁发机构的操作。

结论

针对已知弱密钥采取的即时证书封锁措施已完成，但更广泛的补救工作仍在进行。下一个预定节点是Chrome于10月27日推出的根证书移除措施；尚未更换关联证书的网站可能因此受到影响。

阅读更多新闻

更多FinanceVelix新闻

免责声明

本文由FinanceVelix提供，仅供一般信息参考，不构成个性化的财务、投资、法律或税务建议。市场价格、利率和经济状况可能发生变化；投资存在亏损风险。文中事实依据发布时可获取的资料，且可能发生变化。请自行核实重要信息，并在需要时咨询具备资质的专业人士。提及任何资产、公司或服务并不构成推荐。