eMudhra退出TLS业务：私钥仅4比... Features
根据知名科技媒体Ars Technica于2026年10月22日报道，印度证书颁发机构（CA）eMudhra Limited宣布正式退出全球SSL/TLS证书业务。此前，研究人员发现该机构签发了8个中间TLS证书，其私钥强度极低——其中一个私钥的有效位数仅为4比特，意味着攻击者可毫秒内破解并伪造任意网站的合法证书。这一重大安全事件迫使浏览器厂商紧急封禁相关证书，并引发行业对密钥管理流程的深刻反思。
电影杀青事件始末：毫秒级破解的信任危机
2026年10月20日，安全研究员Scott Helme发布报告，揭露eMudhra签发的8个中间TLS证书存在惊人的安全缺陷。这些基于NIST P-384椭圆曲线加密的私钥本应包含约384比特的熵值，但实际密钥强度仅介于3至8比特之间。更具体地说，私钥数值为4、56、66、115、155、156、230和237，其中最小的4比特意味着只有2^4=16种可能取值。据Scott Helme在博客中描述，他“在毫秒级别”便成功推导出这些私钥。消息曝光后，互联网安全界立即进入高度警戒状态。
电影开机eMudhra宣布退出：成本与声誉的双重压力
2026年10月22日，eMudhra董事长V. Srinivasan通过官方新闻稿宣布公司退出全球SSL/TLS证书业务。Srinivasan指出：“SSL/TLS业务仅占我们总营收的1%，但合规要求日益复杂且成本不断上升。”他还提到，免费证书提供商的崛起进一步降低了该业务的投资回报率。新闻稿中强调：“然而，围绕本次事件在社交媒体上的放大效应带来了与SSL/TLS在我们业务中地位不成比例的审视。经董事会详细讨论，我们得出结论：退出全球SSL/TLS业务对eMudhra及其股东而言是正确决定。”
电影选角技术根因：密钥生成仪式中的致命缺陷
2026年10月21日，eMudhra发布初步声明解释事件原因。声明称：“这些证书于2025年4月30日使用FIPS 140-2 Level 3硬件安全模块（HSM）在密钥生成仪式（KGC）中创建。KGC中的代码缺陷导致在一次密钥包裹/解包步骤中生成了第二组弱密钥，而弱密钥最终被发布到浏览器根证书库。”以下表格对比了预期安全参数与实际异常参数：
| 参数项 | NIST P-384 标准要求 | 实际弱密钥情况 | 危害程度 |
|---|
| -------- | --------------------- | ---------------- | ---------- |
|---|
| 密钥熵 | 384比特 | 3～8比特 | 极低(可穷举) |
|---|
| 私钥值范围 | 2^384 (约116位数字) | 最大256种可能 | 毫秒级破解 |
|---|
| 私钥示例 | 随机大数 | 4, 56, 66, 115, 155, 156, 230, 237 | 完全可预测 |
|---|
| 签名能力 | 仅合法CA可使用 | 任何人可伪造 | 全站信任失效 |
|---|
在Mozilla Bugzilla论坛上，eMudhra进一步提供技术细节：“我们的审查表明：a) 原始ECC密钥已在HSM内正确生成；b) 为测试密钥传递功能引入了包裹/解包步骤；c) 代码缺陷导致HSM内生成了第二组弱密钥；d) 由于密钥标签相似，弱密钥被错误用于创建证书签名请求（CSR）；e) 该CSR还被发送至同行CA Sectigo进行交叉签名。”声明同时承认，证书吊销列表（CRL）最初使用了错误的原始密钥签名，导致签名无效，后被迫使用弱密钥重新签名。
行业应对与遗留威胁
在发现漏洞后的一至两天内，主流浏览器厂商（如Google Chrome、Mozilla Firefox、Apple Safari）迅速封禁了由这8个中间证书签发的所有证书。CA/Browser Forum也几乎必然会启动撤销eMudhra CA资格的程序。然而，大量依赖同一信任根的IoT设备、Docker容器、老旧Linux系统以及内嵌式设备可能需要数月甚至永远无法完成更新。eMudhra承认“存在多重人为错误”，并承诺“未来一周内重新验证所有过去的密钥生成仪式”。
免费证书浪潮下的商业CA困境
eMudhra的退出并非孤立事件。随着Let's Encrypt等免费证书提供商占据市场主导地位，传统付费CA的利润空间被严重挤压。V. Srinivasan在声明中直言：“免费证书的普及进一步降低了SSL/TLS业务的投资回报。”商业CA必须在安全合规成本与微薄收入之间寻找平衡，而一次重大安全事件就可能让整个业务崩塌。据eMudhra财报显示，2025财年其SSL/TLS业务营收仅占集团总营收的1%，而安全审计与合规投入却持续增长。
FAQ
Q1: 事件中弱私钥到底有多弱？
A1: 最弱的私钥仅包含4比特熵，即只有2^4=16种可能取值。攻击者使用普通电脑即可在毫秒内尝试所有组合并确定私钥，进而伪造任何网站的TLS证书。即使是“最强”的私钥（237比特）也仅有256种可能，远低于标准要求的2^384。
Q2: 普通用户需要采取什么行动？
A2: 主流浏览器（Chrome、Firefox、Edge、Safari）已自动更新并封禁受影响证书，绝大多数用户无需手动操作。但使用嵌入式系统、自有PKI或老旧软件的组织应检查是否信任eMudhra根证书，并考虑手动移除。建议持续关注CA/Browser Forum的后续公告。
总结与展望
eMudhra因一次密钥生成仪式中的代码缺陷和人为失误，导致8个弱私钥证书流出，最终被迫退出TLS业务。这一事件再次警示：数字信任体系的脆弱性往往源于流程细节而非加密算法本身。随着免费CA的普及和监管趋严，商业CA必须将安全审核提升至核心战略层面，否则一次失误足以断送整个业务。未来，CA/Browser Forum可能推出更严格的密钥生成仪式审计标准，以防止类似事件重演。
