eMudhra Intermediate CA Compromise

eMudhra中级CA泄露事件 - InfoQ

InfoQ 首页 News eMudhra中级CA泄露事件

DevOps

扩展OpenTelemetry：管理收集器、配置和成本（11月19日网络研讨会）

eMudhra中级CA泄露事件

2026年10月21日 5分钟阅读

作者：

• Chris Swan

#### 关注我们

Youtube

232K 关注者

Linkedin

26K 关注者

Instagram

新

RSS

19K 读者

X

57.1k 关注者

Facebook

21K 点赞

Bluesky

收听本文 -

0:00

音频准备就绪

您的浏览器不支持音频元素。

正常

1.25x

1.5x

喜欢

新下拉阅读列表

• 阅读列表

八个eMudhra中级证书颁发机构（CA）证书的私钥已被泄露，使得攻击者可以轻易伪造被未打补丁的信任根所信任的证书。其中六个受影响证书用于传输层安全协议（TLS），被Apple、Chrome、Microsoft和Mozilla的信任根计划所信任。另外两个证书用于代码签名，被Microsoft信任。浏览器可以通过后台撤销黑名单阻止受影响的中级CA，但大多数依赖于网络公钥基础设施（PKI）的其他软件缺乏过滤中级CA的机制。为防范被泄露的中级CA生成的恶意证书，许多项目选择从信任根中移除emSign ECC Root CA - G3。这一移除行为对所有此前由链接到该根证书的CA签发的合法证书造成了连带影响。

伪造的证书可能被用于中间人（MITM）攻击中伪装网站和服务。根本问题在于典型的信任根证书包中包含数百个CA，以及数千个继承信任的中级CA。这些CA中的任何一个都可以为任意域名生成看似合法的证书。只有当信任锚点更新以反映泄露情况时，信任链才会被打破。这使得所有未打补丁的系统都面临风险。

目前没有证据表明eMudhra遭受了入侵。私钥似乎是由不安全机制生成的。这些密钥并非大随机数，而是全部为零，除了最后一个字节为4、56、66、115、155、156、230或237。这些私钥可以轻易被枚举，其对应的公钥也可被推断。当这些公钥在实际CA中被发现使用时，低熵私钥就构成了泄露风险。'Wayne'因在信任根存储事件报告中发现该问题而被署名，他提供了包含proof.zip文件包的声明“我们这里出了问题”。Dennis Jackson随后使用域名emudhra.we-have-a-problem.com（该域名使用了Let's Encrypt证书）创建了eMudhra中级CA泄露事件的汇总网站。

浏览器首先通过使用其撤销黑名单进行响应，这些黑名单提供了一种快速且精准定位的机制（解释见《浏览器如何处理被撤销的SSL/TLS证书？》）。许多其他项目依赖于浏览器的信任根（通常来自Mozilla，因其许可协议较为宽松）。由curl项目维护的Mozilla cacerts文件中提取的CA证书被广泛用于其他开源项目，包括Linux发行版和多种编程语言的TLS实现。Arch、Debian、Gentoo、Fedora和Ubuntu的ca-certificates包均已更新；Electron、Go、pip、Python certifi、rustls-webpki、Rust webpki-roots和uv等工具也同步更新。这些更新需要一定时间才能传播到所有目标位置，而未主动更新的系统（包括所有已过生命周期支持的系统）仍将面临漏洞风险。

部分语言和框架已不再内置信任根，转而由开发者自行决定依赖系统信任根或自行定义信任体系。例如，Dart（自2026年8月发布的3.13版本起）不再包含嵌入式的cacerts文件，该语言被广泛用于流行的Flutter跨平台框架。使用系统信任根可实现无需修改应用程序的快速更新。开发者自行定义信任体系则可实现针对特定系统已知CA的精确信任控制。然而，目前仍有许多应用程序内部嵌入了cacerts文件，继续信任受攻击的CA。

证书还常用于认证，通常作为双向TLS（mTLS）的一部分。这为攻击者提供了新的潜在攻击路径，若应用程序信任Web PKI根证书，攻击者可通过伪造证书进行攻击。SSLMate创始人Andrew Ayer指出：

目前最应感到担忧的是那些使用WebPKI CA进行mTLS/TLS客户端认证的用户。攻击者只需伪造证书即可认证到mTLS端点，而该端点很可能未检测到中间证书的撤销状态。无需实施BGP劫持或其他网络攻击。（是的，Chrome已禁止WebPKI中的clientAuth EKU，但他们延长了截止日期，我已知有6个服务将mTLS验证器改为接受serverAuth EKU替代clientAuth，因此WebPKI中的mTLS仍然存在并持续被使用，尽管这本身是个糟糕的设计。）

证书伪造还绕过了DNS证书颁发机构授权（CAA）记录的保护机制。CAA记录本应阻止合法CA为设置了CAA记录但未列入该CA的域名颁发证书，但伪造者不会执行此类检查。理论上更广泛的CAA记录使用可能有助于防御伪造攻击，但实际采用率（即使在许多热门网站中）仍然较低，因此该机制仍处于初步阶段。

证书透明度如果能在浏览器之外得到更广泛的应用，也可能发挥更大作用。Moxie Marlinspike 于 2011 年在 Black Hat 大会上提出了“Convergence”方案，该方案通过分布式证书观测系统来判断证书有效性，而非（或初期同时）依赖证书颁发机构和受信任根。尽管 Convergence 未能获得足够关注，但证书透明度（RFC6962）和证书透明度 2.0 版本（RFC9162）尝试通过构建分布式证书发行账本，定义类似目标的标准。客户端可以验证证书是否正确颁发，并拒绝那些未在日志中出现的伪造证书。

这一妥协预示了 Spice Labs 创始人 David Pollak 在与 Viktor Peterson 的播客采访“Post-Quantum Cryptography: Rethinking Trust Before the Clock Runs Out”中提出的末日场景。Pollak 询问如果主流 CA 根的私钥被泄露会发生什么。随着“Q day”临近，CA 仍依赖基于经典算法的 RSA 和椭圆曲线加密（ECC）密钥，这一问题仍然是严重担忧。这也解释了为何 SSL/TLS 证书有效期将缩短至 2029 年的 47 天，因为届时更易通过新锚点刷新证书。

证书透明度与后量子计算的担忧在《A Post-Quantum Future for Let's Encrypt》中交汇，文中提议采用 Merkle 树证书（MTCs）作为替代方案，而非使用 ML-DSA-44 等后量子算法进行签名。这种机制不仅在会话初始化握手时能减少传输开销，还应使密钥泄露的影响更易控制。

作者信息主容器

关于作者

章节标题

每位作者信息主容器

#### Chris Swan

显示更多

显示更少

#### 本内容属于 DevOps 主题

##### 相关主题：

• 架构与设计

• DevOps

• 安全事件

• 安全

• Web

• 相关编辑

• 相关赞助商 AI 的物理限制：AI 如何重塑数据中心

• 相关赞助商 PostgreSQL 为时间序列扩展而生 无需牺牲性能即可使用 PostgreSQL 处理海量时间序列数据。了解 Tiger Data 如何实现高速数据摄入、快速查询和可扩展存储。了解更多。

InfoQ 新闻通讯

每周五汇总 InfoQ 最新内容，每周二发送。加入 25 万名以上资深开发者的社区。查看示例

我们保护您的隐私。