印度证书颁发机构曝出重大事故！私钥竟是单个数字4：6000万证书沦陷

快科技10月21日消息，据报道，印度大型数字证书认证机构（CA）eMudhra近日曝出重大安全事故， 其采用的中继证书私钥竟然是单个数字4，导致8组中间证书私钥遭破解外泄，逾6000万张证书公信力瞬间瓦解。

据Mozilla密码学工程团队成员Dennis Jackson披露，Mozilla于10月17日接获社区成员通报，确认与eMudhra关联的8组中间证书私钥已外泄。

攻击者可针对任何网站伪造HTTPS证书，Cloudflare警告称，攻击者可借此冒充合法服务器，对网络流量发动中间人攻击。

知名安全研究员Scott Helme深入分析证书架构时发现，其中一组私钥是数字4，并非以4开头的长字符串，也不是4后面跟数百位随机数，就是单纯的一个数字4。

Helme在个人笔记本上从公开证书反推还原，整个运算不到一秒， 随后又还原出56和115等私钥，其他研究人员陆续还发现该机构使用的私钥包含66、155、156、230和237等数字。

根据规范，P-384椭圆曲线私钥应为384位强随机数，理论上有10的115次方种组合，常规计算环境下根本无法暴力穷举。

而eMudhra使用个位数或极小整数做私钥，等于直接敞开防护大门，所有由其签发的证书完全无法抵御暴力猜测。

事件爆发后，Mozilla、Chrome和苹果等主流浏览器厂商已将相关证书列入黑名单，用户完成系统或应用更新后，浏览器将全面拒绝信任eMudhra签发的证书， 多个开源软件项目也紧急发布更新进行阻断。

但业界担忧受损私钥签发的证书仍广泛分布于各类网络服务器、内部系统和特定应用中，企业和系统管理员需主动检查自身服务器环境，通过自动化流程全面清查是否仍在使用eMudhra签发的证书。

【本文结束】如需转载请务必注明出处：

新浪科技公众号

“掌”握科技鲜闻 （微信搜索techsina或扫描左侧二维码关注）

大厂醒悟了，卷模型不如卖芯片

A社“AI末日”资本黑手被揪出，炒作焦虑为IPO圈钱！难怪仇视DeepSeek开源

中银基金换帅：风控“守门”，难破“偏科”

国家癌症中心公布发病前五癌症：死亡率之首不意外

国家数据集团领导班子成员一览（附简历）

独家：国家数据集团今日正式成立！ 班子成员也定了！

满足这些条件 微信聊天记录才能当证据

流浪宠物爱心博主感染罕见真菌病逝 年仅27岁

新央企国家数据集团，领导班子亮相

512GB版本独享麒麟8020 三款机型全系麒麟芯 华为畅享100系列线下海报曝光

宝马计划裁员8000人：补偿太香员工竟抢着走

我们拒接是对陌生信任流失！全国陌生电话接听率暴跌70%：广东人最不爱接电话上榜

又一地宣布生物地理不计入中考总分：此前北京等都已经开始执行

小米SU9 LUX曝光，定位行政豪华轿车

理想汽车连山电池保障计划正式发布：电池不自燃、碰撞不起火终身保障

小米新车要下饺子！8款新车商标曝光：SU8、SU9全来

最高赔偿487万！宝马员工争着离职挤崩内部系统

马斯克：未来某天金钱将毫无意义，传统货币也不再重要

张雪全网求助做米饭 网友堵门口送米 张雪喊话：不是米的问题 已有最差准备

车身加长425毫米 激光雷达、闪充上车！比亚迪第二代海鸥上市：置换6.29万起

老人想买特斯拉被字体劝退！马斯克秒回：加 马上加

马斯克造出腾空能飞的特斯拉：凭什么要按着中国车企头去集体反思呢

SpaceX上市以来首次季度盈利！马斯克再放豪言：1万亿美元营收目标或提前至2028年

主题：证书