#certificate authorities

eMudhra 宣布将退出全球 SSL/TLS 证书业务，这一决定出现在该公司因一起事件受到审查之际。公司称，围绕该事件的社交媒体放大带来了与其 SSL/TLS 业务占比不相称的审查，并强调其全球 SSL/TLS 基础设施与其他业务隔离运行。公司还表示，受影响 CA 未签发终端实体证书。

eMudhra 的 8 张中间 CA 私钥被发现在生成时随机性极弱，只有 256 种可能，可被快速穷举还原；其中 6 张可签发 TLS 网站证书，2 张可签发代码签名证书。Mozilla 在 10 月 17 日收到报告后 3 小时内向所有 Firefox 用户自动推送封锁，无需重启；Google 同日屏蔽受影响公钥，并计划在 10 月 27 日移除相关根证书，Apple 和 Microsoft 也在跟进。上述处置意味着依赖这些中间证书的网站、软件发布者和嵌入式设备需要关注信任链失效，而不能更新信任库的设备风险最高。