印度数字证书漏洞险些导致互联网崩溃，科技巨头纷纷受害！

近年来，用户在使用购物应用时，往往会期待网站的地址栏显示的小锁图标代表着安全。然而，最近一次事件却揭示了这一层保护的脆弱性。事情的起因并不是顶级黑客的袭击，而是负责颁发网站安全证书的机构在加密密钥管理上出现了致命失误，导致加密信息几乎变得可被随意猜测。

通常情况下，数字证书的私钥由三百多位复杂字符构成，破解它几乎是不可能的。然而，这次出事的八把密钥中，最大的仅有237个字符，普通人几秒钟内就能数完。相关人员在看到这一漏洞报告时，恐怕难以置信，原本的高安全标准竟如此低级。

2026年10月17日，一位安全研究员向谷歌、火狐、苹果和微软等主要公司报告了这一漏洞，并将报告抄送给了负责该数字证书的印度企业eMudhra。这位研究员凭借普通的笔记本电脑，仅用不到一秒的时间就破解了这八把弱密钥，令技术人员感到震惊。 龙8头号玩家

早期互联网的传输方式是明文，随后为了提升安全性引入了TLS加密。而CA机构负责网站证书的颁发，相当于互联网上的防伪公章。然而，eMudhra手里的这批证书是具有更高权限的中间证书，攻击者只需掌握相关私钥，就可以轻松生成伪造网站，获取用户敏感信息。

更令人吃惊的是，这些漏洞证书中部分还获得了老牌证书机构Sectigo的交叉签名，等于让这一小型企业的私章得到了全国知名的公证，信任链被放大到不可预知的程度。

eMudhra指出，问题根源出在2025年4月的密钥生成过程中，虽然使用了合规设备，但在测试脚本时不慎生成了废密钥，并错误地用于正式证书请求，导致了漏洞的产生。业内人士还流传着，Sectigo在2025年6月发现证书吊销列表存在问题，但由于邮件被误拦截，未能引起足够重视。 龙8头号玩家

安全研究员的揭露导致这批证书被迅速拉黑。Mozilla在收到报告后三小时就推送了补丁，Chrome也在短时间内完成了封堵，苹果和微软紧随其后。

事件公开后，eMudhra在印度股市暴跌20%，随后宣布退出全球SSL/TLS证书业务。这项业务本就仅占其总营收的1%，但留下的严重后果却无法通过退出解决。

此外，市面上众多智能设备并没有系统更新通道，很多嵌入式Linux系统仍然在运行着固化的信任库，这使得漏洞得不到修复。而一些老旧服务器使用的开发工具也未必能够识别这些弱证书，安全风险依然存在。 龙8头号玩家

行业资讯