一家发过6000万张证书的CA，栽在了“4”上

证书颁发机构（CA）是互联网信任体系的地基——浏览器敢不敢让你访问一个网站，很大程度上取决于它背后的证书是不是由受信任的CA签发的。而最近，印度公司 eMudhra 给这个地基敲出了一道裂缝。

Solidot 报道称，在曝出惊人丑闻之后，eMudhra 宣布退出全球 CA 业务，未来将专注于核心企业解决方案和信任服务，不再碰 SSL/TLS 相关业务。要知道，它可是印度唯一一个被主流浏览器信任的 Root CA 机构，截至 2026 年已发行超过 6000 万张证书。这样一家体量的机构说退就退，背后的原因相当尴尬。

私钥泄漏，泄漏的却是“4”这种数字

事情的起因是 eMudhra 的八个中间证书私钥泄漏。中间证书是根证书和终端网站证书之间的桥梁，它的私钥一旦泄漏，攻击者理论上就能签发看起来“合法”的证书，用来做中间人攻击、伪造网站。

但真正让安全圈炸锅的，是这些私钥本身的质量。它们被发现是极其简单的数字，比如 4。对，就是你小学就认识的那个 4。这种强度的密钥，几乎等于把家门钥匙挂在门把手上。

“多重人为错误”是怎么发生的

根据 eMudhra 的说法，这些弱密钥是“多重人为错误”导致的。时间线大致是这样的：相关密钥在 2025 年 4 月 30 日生成。公司原本使用专门的硬件安全模块（HSM）来生成一组强度合格的密钥，但软件脚本存在一个缺陷，导致系统额外生成了一组较弱的密钥。由于两组密钥名称相似，员工在选择时挑中了弱的那一组。