印度 CA 机构 eMudhra 泄露 8 个中间证书私钥，攻击者可伪造任意域名
全球系统管理员本周面临严峻的安全挑战。印度证书颁发机构（CA）eMudhra 意外泄露了八个不安全的中间证书私钥，这一漏洞使得攻击者能够冒充任何合法域名，或伪装恶意软件来源。
利用这些泄露的私钥，攻击者可在网络流量路径中的多个节点实施拦截与伪造，包括公司或政府内部网络、公共 Wi-Fi 热点、ISP 服务商以及政府机构监控点。在此情况下，用户连接的网站如 apple.com、amazon.com 或 bankofamerica.com 均可被完美仿冒。若操作系统及已安装软件未及时更新，将无法识别此类欺诈行为。此外，由于涉及代码签名证书，攻击者下载的应用程序可显示为完全合法的签名状态。
软件验证证书合法性的核心机制在于“信任链”。以 tomshardware.com 为例，其站点证书由中间认证机构签署，而该中间机构的证书又由根证书签发并信任。通常情况下，根证书的私钥会离线保存在高安全等级的物理保险柜中。然而在本次事件中，eMudhra 发布的六个 TLS 中间证书和两个代码签名中间证书的私钥遭到泄露。
操作系统及各类应用程序维护着一份受信任的根证书和 CA 列表，浏览器则额外维护一份称为“撤销列表”的不信任名单。这些名单需定期更新以应对类似本周发生的安全事件。目前的应对措施包括删除受影响的根证书条目，或在系统中硬编码拒绝所有八个泄露的密钥。
值得注意的是，近期版本的 Chrome、Brave、Firefox 和 Safari 浏览器均强制启用了“证书透明度”功能。据 Google 报告，目前没有发现受影响的六个中间 CA 所签署的证书被记录在公开日志中。对于仅进行常规网页浏览的用户而言，风险相对较低，但仍建议立即检查并安装所有软件更新。
此次事件的影响范围广泛，涵盖需要更新的 PC、服务器、操作系统、智能手机、平板电脑、路由器、网页浏览器、内嵌浏览器的应用程序、虚拟服务器、虚拟机、Docker 及其他容器环境。此外，Python、Go、Node.js、Rust 等编程语言运行时，以及 Curl 等独立下载工具也均在受影响之列。相比之下，旧款路由器、智能物联网设备以及老旧计算机因缺乏更新支持，可能构成长期的安全隐患。
关于技术细节，eMudhra 共发行了六个中级 CA 证书和两个中级代码签名证书。作为证书两部分的秘密一半，上述证书的私钥长度仅为 1 字节。目前，导致这一异常状况的具体原因仍在调查之中。
