近日，全球密码基础设施领域曝出重大安全事件：印度知名证书颁发机构 eMudhra 旗下 8 张中间 CA 证书私钥因密钥生成流程缺陷，密钥强度不足、可被快速破解，引发 Chrome、Firefox、苹果、微软等主流根证书项目紧急响应，同步启动证书吊销、移除信任等处置工作，牵动全网 HTTPS 通信信任体系安全。

本次事件由安全研究员发现并上报。核查显示，8 份受影响中间证书中，6 份用于网站 TLS 加密，2 份用于代码签名。问题根源来自密钥生成环节：密钥封装解封装流程错误，生成了一组密码强度极弱的备用私钥，该缺陷隐匿长达约 18 个月，连续两轮合规审计均未检出。攻击者一旦拿到私钥，可伪造任意网站的合法证书，实施中间人攻击，窃听 HTTPS 流量、仿冒网银、企业站点，还能伪造合法签名恶意程序，风险等级极高。截至目前，公开证书透明度日志暂未发现密钥被滥用的痕迹。

事件披露后，各大根证书体系快速出台处置方案。Mozilla 已于 10 月 20 日率先移除对关联根证书 emSign ECC Root CA – G3 的信任；谷歌 Chrome 计划在 10 月 27 日推送版本更新，完成信任移除；eMudhra 自身已经停止所有关联中间证书的新证书签发，并对涉事证书执行吊销操作。除浏览器外，Go、Python、Rust 等编程语言运行库、底层加密组件同样受波及，开发人员需要更新依赖库，规避证书校验绕过风险。

业内专家介绍，HTTPS 安全建立在 CA 根证书信任链之上。中间 CA 是根证书与网站证书之间的关键节点，一旦中间 CA 私钥失陷，整条信任链都会失效。本次事件也暴露了部分 CA 机构密钥 Ceremony（密钥生成仪式）流程管控漏洞，以及审计机制对弱密钥场景的检出短板。

安全机构给出建议：

1. 普通用户：及时更新浏览器、操作系统，不要随意忽略网站证书告警；

2. 企业运维：排查业务证书是否由 eMudhra 涉事中间 CA 签发，提前替换证书；

3. 开发人员：升级加密 SDK、运行时环境，校验证书链，做好证书黑名单兜底；

4. CA 行业：强化密钥生成流程校验，增加弱密钥自动化检测，完善密钥泄露应急响应预案。

目前事件仍在持续评估，相关厂商持续更新信任列表，行业再次聚焦 PKI 公钥基础设施的安全底线，全球 CA 合规审查标准或将进一步收紧。