在重大安全丑闻后：eMudhra 公司退出 TLS 证书市场
数字证书颁发机构（Certificate Authority）eMudhra 宣布决定全面退出全球安全套接字层（SSL/TLS）证书市场。此前几天，安全研究人员披露了该公司颁发的八个中间证书存在严重漏洞，其加密密钥的强度弱得惊人，导致其在几秒钟内即可被破解。
安全漏洞详情
根据技术报告，该公司颁发的椭圆曲线加密（ECC）密钥本应具备高复杂性（384 位），但实际发现的密钥强度仅在 3 到 8 位之间。这意味着密钥的可能组合数量极少，允许任何一方为任何网站或电子邮件服务器创建受信任的 Web 证书，这对互联网基础设施构成了严重的安全威胁。
为何此消息重要？
此次事件的严重性在于，eMudhra 颁发的证书曾受到主流浏览器和操作系统的信任。漏洞一旦被发现，浏览器厂商被迫立即封锁这些证书。然而，物联网（IoT）设备、Docker 容器以及无法接收定期更新的旧系统仍将长期处于危险之中，因为它们可能无法更新其受信任的证书列表。
“密钥生成仪式”中的人为与技术错误
eMudhra 解释称，该故障发生在 2025 年 4 月的“密钥生成仪式”（Key Generation Ceremony）期间。公司指出，所使用的软件存在错误，导致生成了两组密钥：一组强密钥和一组弱密钥。由于在标记过程中出现人为失误，弱密钥被用于颁发证书并发布到根证书存储（Root Stores）中。公司还承认，在原始密钥签名失败后，曾尝试使用有缺陷的密钥重新签署证书吊销列表（CRL），且未对失败原因进行根本性调查。
退出动机
公司董事长 V. Srinivasan 将退出决定归因于合规成本上升、由于免费证书的普及导致投资回报率低下，以及事件发生后媒体的压力和高强度的审查。公司称这些审查与其业务组合中该项业务的规模相比是“不成比例”的。