--- title: 测试你的浏览器安全性：如果能打开这个网站，就踩中了印度证书机构的离谱大雷｜更新：eMudhra 已退出证书业务 date: 2026-10-21T09:15:06Z modified: 2026-10-23T05:02:07Z permalink: "https://www.appinn.com/test-browser-security-emudhra-certificate/" type: post status: publish excerpt: "" categories: - 业界消息 tags: - 业界消息 - track-emudhra-2026 - 安全漏洞 featured_image: "https://www.appinn.com/wp-content/uploads/2026/10/Copy-of-appinn-homework-2026-10-21T171137.561.jpg" author: 青小蛙 timestamp: 2026-10-23T05:02:07Z --- > 10.23 更新 > eMudhra [宣布](https://emudhra.com/en/press-release/emudhra-to-exit-global-ssl-tls-certificate-business)将退出全球SSL/TLS证书业务 在发生了离谱的 4 证书事件（8 张中间证书私钥弱到可以瞬间破解），导致 eMudhra 相关根证书遭浏览器移出信任列表。面对信任危机，以及只贡献约 1% 收入的全球 SSL/TLS 业务，eMudhra 最终选择退出市场。 eMudhra Limited 是一家印度公钥基础设施公司，成立于 2008 年，总部位于班加罗尔。该公司获得印度证书颁发机构控制局 (CCA) 的许可，可在印度颁发数字签名证书，是印度领先的证书颁发机构之一，并于 2022 年上市。它成为唯一一家获得主流网络浏览器信任的印度根证书颁发机构。截至 2026 年，该公司已颁发超过 6000 万份数字证书。 > 10.22 更新 > 通过该网站中间的 Run again 按钮，可以检测你的浏览器是否能连接这些被吊销的证书，全 OK 就是安全的： > [https://emudhra.we-have-a-problem.com/](https://emudhra.we-have-a-problem.com/) ![](https://www.appinn.com/wp-content/uploads/2026/10/screenshot-2026-10-22-at-2.57.45-PM402x.avif) ![](https://www.appinn.com/wp-content/uploads/2026/10/Copy-of-appinn-homework-2026-10-21T171137.561.jpg)## 现在，测试一下你的浏览器 - [https://dv-g3b-emudhra.we-have-a-problem.com/](https://dv-g3b-emudhra.we-have-a-problem.com/) 如果能打开这个网址，就证明你的浏览器中了印度证书机构的离谱大雷。 ![](https://www.appinn.com/wp-content/uploads/2026/10/Screenshot_20261021_154742_com.kiwibrowser.browser.avif) 如果打不开，你的浏览器安全，已更新！ ![](https://www.appinn.com/wp-content/uploads/2026/10/screenshot-2026-10-21-at-3.46.25-PM@2x.avif) ## 印度证书机构出了什么离谱大雷？ 这是青小蛙使用 OpenSSL 随机生成的一份 **P-384 私钥**，与印度 eMudhra 此次出问题的私钥采用相同的椭圆曲线算法： ![](https://www.appinn.com/wp-content/uploads/2026/10/screenshot-2026-10-21-at-4.11.38-PM@2x.avif) 其中 `priv:` 后面的 48 字节十六进制数字，就是私钥真正的秘密数字。 正常情况下（如上图），这个数字非常庞大，几乎无法通过暴力猜测找到。 **然而，印度 eMudhra 的其中一份私钥，是这样的：** priv: 00:00:00:00:00:00:00:00:00:00:00:00:00:00:00:00: 00:00:00:00:00:00:00:00:00:00:00:00:00:00:00:00: 00:00:00:00:00:00:00:00:00:00:00:00:00:00:00:04 这个 …00:0`4` 是猜出来的。 研究人员从 `1` 开始暴力枚举，每猜一个数字，就用它计算出对应的公钥，再与证书中公开的公钥进行比较。结果只猜到了 `4`，两者完全一致，成功破解了私钥。 **至此，私钥泄漏。** ## 中间证书的私钥泄露会怎么样？ HTTPS 证书有一套信任体系：**根证书 → 中间证书 → 网站证书** 根证书由浏览器或操作系统信任，中间证书由根证书授权，可以继续为网站签发 HTTPS 证书。 比如，你访问 `appinn.com`，浏览器会检查网站证书是不是由可信的证书机构签发的。如果整条证书链都有效，浏览器就会信任它。 **而这次印度 eMudhra 泄露的，恰恰是中间证书机构的私钥。** 这意味着，攻击者拿到私钥后，就可以冒充证书颁发机构，为任意域名签发 HTTPS 证书。 如果浏览器仍然信任这条证书链，攻击者再配合网络劫持，就可能冒充真实网站，窃取用户密码、监听或篡改 HTTPS 通信。 **这相当于小偷拿到了可以制作正规通行证的官方印章，想给谁发证就给谁发证。** ## 结局 各大浏览器已经处理完成，Google Chrome 和 Mozilla Firefox 在 10 月 17 日就完成了紧急封锁，苹果于 19 日、微软于 20 日也采取了相应措施。 | 浏览器 / 平台 | 处理时间 | 具体措施 | | --- | --- | --- | | Google Chrome | 10 月 17 日 | 通过 CRLSet 远程封锁受影响的 TLS 密钥，无需更新或重启浏览器 | | Mozilla Firefox | 10 月 17 日 | 通过 OneCRL 远程封锁，收到报告后不到 3 小时完成分发 | | Apple / Safari | 10 月 19 日 | 苹果证书信任体系已封锁相关证书 | | Microsoft / Edge | 10 月 20 日 | 微软证书信任体系已采取封锁措施 | 但是，这次泄漏还可能影响 curl、Python、Node.js，以及大量使用系统证书库的应用程序。 比如现在使用 curl 还是可以访问到该测试 URL： ![](https://www.appinn.com/wp-content/uploads/2026/10/screenshot-2026-10-21-at-5.01.06-PM@2x.avif) ## 测试结果 最后，别忘记来分享你的浏览器，拦截了这张离谱证书吗？ --- 原文：https://www.appinn.com/test-browser-security-emudhra-certificate/ ## Topics **分类目录:** [业界消息](https://www.appinn.com/category/it-news/?output_format=md) **标签:** [track-emudhra-2026](https://www.appinn.com/tag/track-emudhra-2026/?output_format=md), [安全漏洞](https://www.appinn.com/tag/%e5%ae%89%e5%85%a8%e6%bc%8f%e6%b4%9e/?output_format=md)