证书私钥沦陷后 eMudhra退出全球SSL业务
报价宝综合消息证书私钥沦陷后 eMudhra退出全球SSL业务
深陷私钥泄露风波的印度数字证书巨头eMudhra周四宣布，其董事会已决定退出全球SSL/TLS证书业务。这家总部位于班加罗尔的公司是印度少数持牌的证书颁发机构之一。
事件始于10月17日：一位化名Wayne的独立研究员报告称，eMudhra用于全球TLS业务的8张中间证书私钥强度异常，有效密钥空间仅剩3到8比特——几乎可以在瞬间穷举破解，其中一把私钥的值竟然就是数字4。任何拿到这些私钥的人，都可能为任意域名签发假证书、冒充正规网站。
eMudhra事后解释，问题出在2025年4月30日的一次密钥生成仪式：脚本缺陷在加解封环节生成了一组弱密钥，而相似的密钥标签导致员工误将弱密钥用于证书签发。苹果、谷歌、微软和Mozilla四大浏览器厂商随后紧急封堵了相关证书，Cloudflare也确认了风险并推送了更新。
公司方面强调，相关中间证书在发现问题后14小时内即被吊销，未签发过任何面向最终用户的证书，基础设施未被入侵、数据未泄露。但市场并不买账——消息披露后的两个交易日里，eMudhra股价累计下跌约百分之四十。
对于退出决定，董事长V. Srinivasan解释称，全球SSL/TLS业务仅占公司营收约百分之一，叠加数据主权与合规要求上升、免费证书的冲击，这条业务线的回报已大不如前；印度国内的数字签名证书与电子签业务不受影响。
印度电子和信息技术部已就事件成立特别调查组，成员包括印度计算机应急响应小组等部门。eMudhra承诺为受影响客户免费替换证书，并在调查完成后公布完整的根因报告，约3万张证书需要在过渡期内完成迁移。
编译自 The Indian Express，原标题："eMudhra to shut down global digital certificate business after major security lapse"
