8 张被污染的 TLS 证书：弱私钥如何击穿 HTTPS 信任链

一句话结论： 印度 CA eMudhra 被发现有 8 张 TLS 证书使用了弱到离谱的私钥，部分私钥只有 3–8 bit。证书仍在信任链里时，攻击者可以在具备中间人条件的前提下解密/转发流量；这类问题的修复不只是“换一张证书”，而是证书生命周期、密钥生成和信任链监控的系统性复盘。

事件概述

2026 年 10 月，Ars Technica 报道印度证书颁发机构 eMudhra Limited 的 8 张 TLS 证书使用了严重缺陷的私钥，引发浏览器/操作系统厂商和基础设施团队高度警惕。

Bruce Schneier 在博客中转述了几个关键事实：

• 正常的 NIST P-384 椭圆曲线私钥大约有 384 bit 熵；
• 涉事证书的私钥长度只有 3–8 bit；
• 实际私钥数值为 4、56、66、115、155、156、230、237；
• 安全研究者形容这属于“本不该发生”的类别，怀疑是密钥生成接口的 size 参数被错误设置，或示例代码误入生产；
• 曝光后，主要科技公司开始阻断相关证书；
• 由于证书通过公开透明日志（CT）可被发现，但 CT 只能事后发现，不能阻止已经签发的证书被使用；
• 利用这些证书需要主动中间人（MITM）条件：攻击者要位于通信双方之间，接收、解密、重新加密并转发流量；
• 对 VPN、政府级流量拦截场景风险更高；本地网络（咖啡馆、学校、企业内网）的攻击者条件更低。