这家印度草台公司宣布退出CA业务 此前8张中间证书被系统和浏览器行业集体封锁

印度数字信任服务提供商 eMudhra 在 10 月 22 日宣布，董事会讨论后决定自愿退出全球 SSL/TLS 证书业务。此前该公司的 8 张中间 CA 证书的私钥被发现存在严重弱随机性，浏览器和证书信任项目随后采取封锁措施。eMudhra 称退出将分阶段进行，过渡期间会继续为现有客户提供免费证书更换。

此前安全研究人员爆出 eMudhra 的 8 张中间证书私钥泄露，后来行业证实并非私钥不慎泄露，而是这家证书颁发机构采用的私钥生成机制存在严重问题，例如某张证书的私钥只有数字 4，这意味着任何人都只需要几百毫秒就可以找到这个私钥。

eMudhra 称该问题发生于 2025 年 4 月：当时包裹与解包步骤意外生成多组弱私钥。印度计算机应急响应小组也指出，受影响的 P-384 椭圆曲线私钥随机性不足，可以从对应公钥快速推算。

目前受影响的 8 个中间证书都已经被吊销，使用这些中间证书签发的子证书也同样无法获得信任，因此海量使用 eMudhra 证书的网站都无法正常打开，只能更换其他受信任的新证书。

eMudhra 称其全球证书业务占公司营收的 1%，公司列出的经营因素包括数据主权与合规要求增加、运营复杂度以及成本上升等，因此证书业务潜力和投资回报正在快速降低。

这次安全事件也引发全行业的关注，eMudhra 董事会讨论后认为相关舆论关注与该业务在其整体业务中的占比不相称，因此决定退出全球 SSL/TLS 证书业务，但该公司将继续运营其他数字可信业务，包括数字签名证书、eSign 电子签名服务、企业 PKI 平台、电子签名和身份认证产品。

让 eMudhra 决定关停证书业务还有个重要原因是谷歌施加的压力，谷歌在 CA 行业的话语权非常高，同时谷歌对 CA 行业的安全要求更高。此前谷歌已经明确表示将在 10 月 27 日从谷歌浏览器里删除对 emSign ECC Root CA - G3 证书的信任。

对 eMudhra 来说如果自己的根证书都被撤销信任那造成的后果非常严重，因为重新申请 Root CA 证书需要大量投资和时间，所以撤销中间证书不是问题，但撤销根证书就是很大的问题了。