印度CA机构eMudhra曝私钥生成漏洞，全球浏览器紧急拉黑防范中间人攻击

BlockBeats 消息，10 月 21 日，一起引发全球网络安全界高度关注的证书颁发机构（CA）安全事件被曝光。印度 CA 机构 eMudhra 被安全研究人员发现，其签发的 8 个中间证书私钥存在极其严重的生成缺陷。这些本应具有极高安全强度的私钥，由于实现错误，其实际有效信息仅相当于极小的整数（如 4、56、66 等），导致安全人员能在不到一秒的时间内将其完全破解。这一漏洞使得原本用于保障网络通信安全的信任基石形同虚设。

中间证书是 HTTPS 加密信任链中的关键环节，其私钥一旦被轻易获取，攻击者便可利用其伪造受信任的 HTTPS 证书，进而针对银行、邮箱或任何受信任的网站发起中间人攻击，拦截、篡改或窃取用户的通信数据。事件的根源并非外部黑客的恶意入侵，而是 eMudhra 在证书生成环节出现了灾难性的实现错误，生产出了安全性近乎于零的私钥。

事件曝光后，全球主要浏览器与软件厂商迅速采取了紧急防御措施。Chrome、Firefox、Apple 以及 Microsoft 均已发布安全更新，将这 8 个存在风险的中间证书列入黑名单，阻止用户访问由它们签发的虚假证书。与此同时，eMudhra 公司自身也已正式吊销了这些存在缺陷的证书。此外，由于大量软件依赖自带的证书信任库，Go、Python、Rust 以及 Electron 等主流开发语言和框架也已紧急推送更新，在各自的生态内封禁了这些受影响的证书。

截至目前，全球安全机构尚未发现这些脆弱的私钥被恶意利用以签发伪造证书的证据。然而，考虑到庞大的物联网设备以及未及时更新的旧版系统，全面清理这一安全隐患仍需时间。安全专家提醒用户称，当前最直接有效的防护措施是确保浏览器和操作系统处于最新版本，以便及时获取最新的证书黑名单，保障自身的网络访问安全。