印度证书颁发机构eMudhra泄露8张证书私钥 大量软件发布更新吊销证书

更离谱的是其中有证书的私钥竟然只有四位字符，正常来说私钥内容都是非常长的，没人知道这家印度公司怎么会离谱到签发只有四位私钥的证书，然后还用这张中间证书为其他网站和服务签署证书。

为防止中间人劫持，目前Firefox浏览器、Google浏览器、苹果和微软都在紧急发布更新或更新证书封锁清单，将 eMudhra 这些问题证书全部吊销，即任何通过问题证书签署的下级证书目前都不被主流浏览器信任，用户访问时会看到拦截提示。

问题在于部分软件没有提供证书吊销机制，因此只能靠发布新版本来拉黑这些证书，目前已经发布软件更新的包括 Go、NSS、Python certifi、Rust、Electron 等，建议使用这些软件的用户立即升级到最新版本。

从目前已知消息来看这些问题证书的私钥并不是泄露，而是从签发开始就使用有缺陷的私钥生成器。Mozilla基金会公布的分析显示，8 个受影响的 P-384 椭圆曲线私钥对应的整数全部小于 256，实际值为 4、56、66、115、155、156、230、237。

而正常的 P-384 私钥应具有约 384 位的随机性，这些密钥却只有数个位的有效信息，因此可以通过穷举法快速找到真正的密钥。当然即便现在安全研究员没有公布私钥，但其他人也可以通过穷举法找到私钥，所以这些证书已经不具备安全性。

基于证书问题建议用户及时更新使用的浏览器，不要长期使用旧版本，部分旧版本可能无法更新吊销列表导致无法封锁旧证书，这可能会给日常访问造成严重的安全性问题。