eMudhra 中间 CA 私钥泄露
Hacker News 摘要原标题：EMudhra Intermediate CA Compromise
该网页详细通报了数字证书颁发机构 eMudhra 的八个中间证书私钥发生泄露的安全事件。
事件概述
八个 eMudhra 中间证书的私钥遭到泄露。这些证书链接到 Mozilla、微软、苹果以及谷歌 Chrome 根证书计划所信任的根证书，同时也被许多下游信任库信任。
报告人 Wayne 于10月17日向各大根证书计划团队报告了该问题。为了证实密钥已泄露，他使用全部八个中间证书的私钥对同一条消息进行了数字签名。
潜在危害与各方应对
攻击者如果持有这些受影响中间证书的私钥，就能够伪造并冒充任何网站或服务。
针对该风险，各主要厂商已迅速采取防护措施：
• 证书机构本身已经撤销了泄露的中间证书。
• Mozilla、微软、苹果和 Chrome 已经通过自身的吊销分发机制保护用户。其中，火狐和 Chrome 自10月17日起已屏蔽相关证书，苹果设备自10月19日起屏蔽，微软系统自10月20日起屏蔽。
• 该问题于10月19日负责任地向各下游信任库披露，许多系统已经或正在发布更新。
不过，由于许多客户端软件并不读取证书吊销列表信息，它们仍然需要依赖软件更新才能停止信任这些中间证书。该网页还内嵌了检测功能，用于测试访问者的客户端是否依然会连接并信任这些存在风险的中间证书。
用户与开发者应对措施
普通用户应尽快将操作系统和浏览器更新到最新版本。
针对各类开发软件与依赖包，需更新至修复版本：
• Go：更新至 1.27.3、1.26.10
• Electron：更新至 44.9.1、43.8.1 或 42.11.16
• Python certifi：更新至 2026.10.19
• Rust：rustls-webpki 更新至 0.103.16；webpki-roots / webpki-root-certs 更新至 1.0.10
• Homebrew：ca-certificates 更新至 2026-09-25_1
• NSS：更新至 3.131.1
• Node.js 与 Composer ca-bundle：修复版本待定
针对 Linux 和 NetBSD 的临时解决方法
在发行版推送更新前，高级专家用户可以在系统信任库中手动停用受影响的根证书（不建议普通用户操作）：
• Debian 和 Ubuntu：以管理员身份编辑 /etc/ca-certificates.conf，将 mozilla/emSign_ECC_Root_CA_-_G3.crt 和 mozilla/Comodo_AAA_Services_root.crt 行前添加感叹号禁用，随后运行 update-ca-certificates 命令。
• Alpine：安装 ca-certificates 包后，在 /etc/ca-certificates.conf 中注释对应根证书并更新证书库。
• Fedora、RHEL、CentOS Stream、Rocky Linux、AlmaLinux、Amazon Linux 2023：使用 trust extract 命令将 Comodo AAA Services root 与 emSign ECC Root CA - G3 导出至系统的证书黑名单目录，再运行 update-ca-trust。
• openSUSE 与 SLES：同样使用 trust extract 导出两项受影响证书至黑名单目录，然后运行 update-ca-certificates。
• Arch Linux：使用 trust extract 过滤并将 emSign ECC Root CA - G3 添加到阻止列表，执行 update-ca-trust。
• NixOS：在系统配置文件中的 security.pki.caCertificateBlacklist 列表中添加 Comodo AAA Services root、emSign ECC Root CA - G3、emSign Root CA - C1 以及 emSign ECC Root CA - C3。
• NetBSD 10 及更新版本：通过管理员权限运行 certctl untrust 命令分别停用对应的两个根证书文件。
其他信息
信任库运营人员可以参阅 Mozilla 开发者安全策略论坛中的讨论。受影响的八个中间证书及其由 Sectigo 交叉签名的具体信息在 JSON 文件中列出，这些中间证书所指向的根证书信息也有对应文件予以说明。该网站由 Dennis Jackson 发布，源码托管在 GitHub 上。