产业观察
印度 eMudhra 宣布退出全球 SSL / TLS 证书业务，承认密钥生成流程存在缺陷及人为失误
📋总体概括
印度数字信任服务公司eMudhra于10月22日宣布退出全球SSL/TLS证书业务，导火索是10月17日研究人员发现其8张中间证书的私钥遭破解。这些本应具备384位安全强度的NIST P-384私钥，实际数值仅为4、56、66、115等极小数字，搜索空间最多256种可能，其中一张私钥竟是数字「4」。谷歌、苹果、微软和Mozilla随后不再信任其证书。eMudhra称该业务仅占收入1%，叠加免费证书竞争与合规成本，董事会决定退出并聚焦数字信任服务。
⚡关键信息
- ▸研究人员10月17日报告eMudhra 8张中间证书私钥被破解，谷歌、苹果、微软、Mozilla相继不再信任相关证书
- ▸8个私钥数值分别为4、56、66、115、155、156、230和237，安全强度本应约384位，实际搜索空间最多仅256种可能
- ▸eMudhra承认问题源于2025年4月30日密钥生成时HSM密钥封装与解封装流程缺陷及人为失误
- ▸全球SSL/TLS业务仅占公司总收入1%，且面临免费证书竞争和合规成本上升，董事会决定自愿退出
- ▸私钥泄露可使攻击者伪造被浏览器信任的虚假网站证书，风险波及邮件服务器和物联网设备
🔥犀利点评
384位强度的椭圆曲线私钥被生成成「4」这种数字，这不是漏洞，是灾难级的工程事故——号称通过FIPS 140-2 Level 3认证的HSM都拦不住封装流程的乌龙，安全认证的含金量被狠狠打了脸。四大浏览器齐齐除名，等于行业直接判了死刑。此时退出倒像体面认怂：反正只占收入1%，与其承担信任崩塌的沉没成本，不如把烂摊子留给历史。只是做「数字信任」的公司自己都不能被信任，这个商业模式的讽刺实在过于辛辣。
📰 相关资讯（与本文相关的其他资讯）
本文由本站自动聚合，以下为原始来源：前往 IT之家 阅读全文 →