印度证书机构 eMudhra 的 8 张证书近日被谷歌、苹果、微软和 Mozilla 联手拉黑。原因是这些证书背后的私钥弱得离谱：本应是约 116 位随机数的 384 位密钥，实际值竟然小于 256，其中一把被发现就是数字 4，另外几把也只有 66、155 这样的量级，暴力尝试 256 次以内就能猜中。

eMudhra 解释称，这是密钥生成仪式中脚本的 bug：在安全硬件上多生成了一对弱密钥，又因名称相近被工作人员误用。研究人员在 10 月 17 日上报后，Chrome 与 Firefox 在数小时内完成拉黑，苹果与安卓随后跟进，微软于 10 月 20 日拉黑。eMudhra 已吊销全部 8 张证书并停发相关根下的新证书，Go 语言项目也发布了拒绝含这些中间证书链的修复。

这起事件的危险在于：拿到私钥的人理论上可以签发任意网站的假证书，再配合中间人位置冒充银行、邮箱等真实站点。主流浏览器大多已自动拉黑，普通用户无需手动操作；但不自动更新信任库的老设备、容器、API 客户端和自定义信任存储仍有风险，管理员需要检查并更新运行时与证书链。

消息来源

Gizbot：https://www.gizbot.com/news/google-apple-microsoft-and-mozilla-all-cut-off-indian-firm-emudhra-129305.html