印度 eMudhra 宣布退出全球 SSL / TLS 证书业务，承认密钥生成流程存在缺陷及人为失误

IT之家 10 月 23 日消息，印度数字信任服务公司 eMudhra 于当地时间 10 月 22 日宣布将退出全球 SSL / TLS 证书业务。 IT之家此前报道，该公司签发的 8 张中间证书存在严重的加密密钥缺陷，其中一张证书对应的私钥竟然是单个数字“4”，攻击者可以在极短时间内破解其并伪造其证书。谷歌、苹果、微软和 Mozilla 随后采取措施，不再信任相关证书。 eMudhra 董事长 V. Srinivasan 在公司公告中表示，全球 SSL / TLS 证书业务约占公司总收入的 1%。随着数据主权和合规要求不断增加，该业务的运营成本与复杂程度持续上升，同时，部分大型机构免费提供 SSL / TLS 证书，也进一步压缩了业务的投资回报。公司董事会经过讨论后，决定自愿退出全球 SSL / TLS 证书业务，将资源集中于其他企业解决方案和数字信任服务。 根据 Mozilla 公布的事件记录，研究人员于 10 月 17 日报告了 8 张 eMudhra 中间证书的私钥遭破解。一旦攻击者掌握其私钥，就可能利用相关信任链生成可被浏览器接受的虚假网站证书，进而冒充合法网站。相关风险还可能涉及邮件服务器、物联网设备及其他依赖相同证书信任体系的软件。 根据相关安全研究人员公布的数据，这 8 个私钥的数值分别为 4、56、66、115、155、156、230 和 237。它们对应的椭圆曲线为 NIST P-384，正常情况下私钥应具有约 384 位的安全强度，但此次发现的私钥数值均小于 256，实际搜索空间最多只有 256 种可能，因而极易恢复。 eMudhra 于 10 月 21 日发布的说明称，问题源于 2025 年 4 月 30 日进行的一次密钥生成。当时，公司使用符合 FIPS 140-2 Level 3 标准的硬件安全模块（HSM）生成相关密钥，但密钥封装与解封装流程中的缺陷导致系统额外生成了一组弱密钥，最终被错误地用于中间证书。 公司在