Lobsters | 📄 原文链接 | 2026-10-25 收录

印度政府网站还在提供被吊销的 eMudhra 证书

来源：captnemo.in — 2026-10-23

📋 概述

eMudhra 挂在 G3 根下的 8 张中间 CA 私钥被证明可被轻易恢复，Mozilla 与 Chrome 已开始不信任整个 G3 根；另一批 9356 张 RSA 层级证书因缺少自家 CP/CPS 要求的策略 OID 被标记为吊销。作者扫了 IGOD 目录下 8947 个印度政府站点，到 10 月 23 日仍有 156 个在提供这批已吊销证书，其中包括 MeitY 下属的 STPI、Bhashini、UIDAI 和监管 eMudhra 发证业务的认证机构管理局。

🔑 核心要点

8 张 G3 中间 CA 的私钥可被轻易恢复，密钥生成于 2025 年 4 月，等于向全世界敞开了 18 个月
Chrome 的 CRLSet（10856）完全没有这批证书，连 DV/G2A-1 CRL 上的 6235 条也没有，所以 Chrome、Edge、Android 照常加载
Firefox 的 CRLite 覆盖全部吊销记录，会直接拒绝加载；iOS 上的 Safari 只对 EV 证书查 OCSP
156 个政府站点仍在用 10 月 19 日 15:34–15:49 之间吊销的证书，含 STPI、Bhashini、UIDAI 与认证机构管理局
监管 eMudhra 证书业务的机构，自己的 India PKI 站点也在用被吊销的 eMudhra 证书
因为整个 G3 根被不信任，eMudhra 估计要迁移 3 万张证书，其中多数其实属于通过 InCommon 使用它的美国高校

💡 金句

That last claim is wrong on both counts. The interval wasn't short: the flawed keys were generated in April 2025, so anyone could have recovered them for 18 months before the report. The impact isn't limited either.

← 返回 Lobsters 首页