主要浏览器厂商与云安全提供商紧急屏蔽印度证书颁发机构 eMudhra 的八张中间 TLS 证书
主要浏览器供应商和云安全提供商已紧急屏蔽了由印度证书颁发机构 eMudhra Limited 签发的八张中间 TLS 证书。此前，研究人员确定这些证书的密钥生成过程存在缺陷，且“极易被利用”。Mozilla 表示，在收到问题通知后，他们成功恢复了受影响的私钥，这凸显了攻击者可能借此冒充合法网站的风险。
这一事件提醒我们，公钥基础设施（PKI）的故障并不会局限于单一浏览器。尽管许多组织迅速添加了证书屏蔽措施，但 Mozilla 警告称，对于无法自动应用这些更新的系统和应用程序，风险可能依然存在。
关键要点
- Mozilla 指出，有缺陷的 eMudhra 中间证书可能导致对合法网站的中间人式冒充。
- 科技公司通过在 Firefox、Chrome、Apple 设备和 Microsoft 环境等主要浏览器和平台上屏蔽这八张证书作出响应。
- Mozilla 通过 OneCRL 实施保护措施，并推送浏览器更新，以确保用户获得必要的缓解方案。
- Mozilla 强调，目前尚无证据表明浏览器遭受了主动利用，但非浏览器客户端可能仍面临暴露风险。
eMudhra 证书漏洞为何重要
根据 Mozilla 加密工程师 Dennis Jackson 的说法，问题证书源于一个“有缺陷”且“极易被利用”的密钥生成过程。Jackson 在一篇事故报告中表示，Mozilla 在周六首次收到通知后不久便独立恢复了私钥，从而证实了底层的弱点。
如果攻击者能够拦截用户的连接，他们可能会展示伪造的证书以伪装成真实网站。Mozilla 解释说，这种冒充行为可能允许敌手读取或篡改会话期间交换的信息，具体取决于攻击方式以及目标环境所应用的保护措施。
这种潜在影响是信任库中快速采取紧急行动的核心原因：证书信任是浏览器和许多客户端应用程序用来判断端点是否真实的基石。
跨浏览器和平台的保护部署情况
Mozilla 的 Firefox 安全团队表示，他们在周六收到了报告，并迅速使用 OneCRL 在 Firefox 中屏蔽了受影响的中间证书，于当天完成了这项工作。随后，Mozilla 发布了针对桌面版和 Android 版 Firefox 的更新。
Mozilla 还指出，这些更新包含了自定义设置，旨在防止某些用户错过 OneCRL 缓解措施。这一细节至关重要，因为屏蔽证书不仅在于是否存在屏蔽措施，更在于客户端配置是否能够及时拉取这些屏蔽更改。
Cloudflare 也运营着网络流量的安全基础设施，它报告称在周一获悉了该问题。随后，它在周二发布了 Cloudflare One、WARP 客户端以及 Cloudflare Tunnel 的更新，并在相关服务中实施了缓解措施。
Jackson 进一步表示，这些证书自周六起已在 Chrome 中被屏蔽，自周一起在 Apple 设备上被屏蔽，自周二起在 Microsoft 平台上被屏蔽。换句话说，多个信任生态系统在几天内从识别阶段过渡到了信任库执行阶段。
关于利用情况的已知信息与不确定性
Jackson 表示，没有证据表明 Firefox、Chrome、Edge 或 Safari 曾以这种方式受到攻击。他指出，自 2025 年 4 月以来，证书透明度日志中没有出现这些中间证书的条目。
然而，Mozilla 的工程师也警告说，浏览器生态系统之外的许多客户端并不强制执行证书透明度。这意味着日志条目的缺失并不能完全消除风险——攻击者仍可能针对依赖不同验证行为的系统。
在同一事故讨论中，Jackson 表示许多下游客户端不应用相同的透明度检查，“我们不知道攻击者是否利用了有缺陷的密钥生成为目标来针对这些客户端。”对于组织而言，这突显了常见的 PKI 不对称性：浏览器可能提供更强的护栏，而自定义客户端、嵌入式系统和遗留企业组件则可能缺乏此类保护。
来自过去证书颁发机构事件的教训
对 eMudhra 事件的回应呼应了历史上的信任库故障——最著名的是 2011 年的 DigiNotar 入侵案。在那起案件中，攻击者入侵了一家证书颁发机构并签发了数百张伪造的 SSL 证书，从而使用户面临冒充和监控的风险。
虽然当前事件与不同的证书集和不同的起源有关，但其操作上的教训相似：一旦证书颁发机构的密钥处理不当或生成错误，攻击者就可能制造出看似可信的证书，从而逃避天真的防御措施。
Mozilla 强调屏蔽措施可能不会自动传播的地方，在企业环境中尤其相关。在企业环境中，内部代理、专用客户端和私有应用程序堆栈的行为可能与主流浏览器不同。
接下来，读者应关注屏蔽证书是否已从所有主要客户端信任库中完全移除的确认信息，以及针对不使用证书透明度的非浏览器客户端的暴露指南。长期的后续影响不在于浏览器——它们已基本得到缓解——而在于任何依赖信任决策的系统，而这些系统在发布证书屏蔽时并未自动更新。
