该公司签发的 8 张中间证书存在严重的加密密钥缺陷，其中一张证书对应的私钥竟然是单个数字“4”，攻击者可以在极短时间内破解其并伪造其证书。谷歌、苹果、微软和 Mozilla 随后采取措施，不再信任相关证书。

　　eMudhra 董事长 V. Srinivasan 在公司公告中表示，全球 SSL / TLS 证书业务约占公司总收入的 1%。随着数据主权和合规要求不断增加，该业务的运营成本与复杂程度持续上升，同时，部分大型机构免费提供 SSL / TLS 证书，也进一步压缩了业务的投资回报。公司董事会经过讨论后，决定自愿退出全球 SSL / TLS 证书业务，将资源集中于其他企业解决方案和数字信任服务。

　　根据 Mozilla 公布的事件记录，研究人员于 10 月 17 日报告了 8 张 eMudhra 中间证书的私钥遭破解。一旦攻击者掌握其私钥，就可能利用相关信任链生成可被浏览器接受的虚假网站证书，进而冒充合法网站。相关风险还可能涉及邮件服务器、物联网设备及其他依赖相同证书信任体系的软件。

　　根据相关安全研究人员公布的数据，这 8 个私钥的数值分别为 4、56、66、115、155、156、230 和 237。它们对应的椭圆曲线，正常情况下私钥应具有约 384 位的安全强度，但此次发现的私钥数值均小于 256，实际空间最多只有 256 种可能，因而极易恢复。

　　eMudhra 于 10 月 21 日发布的说明称，问题源于 2025 年 4 月 30 日进行的一次密钥生成。当时，公司使用符合 FIPS 140-2 Level 3 标准的硬件安全模块生成相关密钥，但密钥封装与解封装流程中的缺陷导致系统额外生成了一组弱密钥，最终被错误地用于中间证书。

　　公司在 Mozilla 的 Bugzilla 讨论中进一步解释，相关流程曾为测试密钥封装与解封装而偏离常规操作。程序缺陷导致第二组较弱的密钥被生成，由于密钥标签相似，工作人员误将其用于生成证书签名请求，并交由公司的根证书签名。部分相关证书还被提交给另一家证书颁发机构 Sectigo 进行交叉签名。

　　eMudhra 表示，事件涉及密钥生命周期管理流程中的多处人为失误，公司正在进一步调查代码缺陷、流程漏洞以及操作复核机制，并计划重新核查此前进行的所有密钥生成仪式。

　　该公司还称，相关基础设施没有遭到入侵，也没有发生数据泄露，印度本土的数字签名证书和电子签名业务不受此次事件影响。

　　公司同时表示，将继续与浏览器根证书计划及客户合作，推动业务平稳过渡。现有 G1 RSA 根证书将在过渡完成前继续为客户提供服务，公司也将通过合作伙伴为受影响客户免费更换证书，并继续运行证书吊销和状态查询服务，直至已签发的证书全部到期或完成替换。

　　尽管主流浏览器已采取措施阻止相关证书，部分更新周期较长的设备、嵌入式系统以及使用独立证书信任库的软件，仍可能需要更长时间才能完成处置。Mozilla 宣布，将更新其证书信任库，移除签发相关中间证书的根证书，以进一步保护使用 Mozilla 信任库及其衍生版本的应用程序。

　　特别

　　太可怕了！仓库堆了270万台新车卖不动，买车有优惠还能旧车置换，大家却不愿买车，评论区炸锅

　　太离谱了！婚期将近，男方亲戚两次致电让未过门的女生前去帮忙，男友就在身边没阻拦，女生选择推迟订婚

　　公司裁掉两个年薪50+万元工程师，花2小时教他用Claude Code：“我年薪17万，一个人干三个人的活！”

　　网传王诗龄油画进卢浮宫卖了145万，一查：展位能租，起步价不到4000，那笔145万的记录却是她爷爷的

　　太扎心了！25岁女子和前男友酒店发生关系，事后仍被拒绝复合，女子不甘心，从此前男友就消失不见了