印度eMudhra八把中繼CA金鑰外洩，瀏覽器緊急封鎖憑證
· 資安 · 印度
Mozilla與Google的Chrome Root Program於10月20日確認，印度憑證機構eMudhra旗下八張中繼CA憑證的私鑰已外洩，引發瀏覽器與軟體專案緊急因應。中繼CA負責簽發網站出示的憑證，因此持有這類金鑰者，可為任何瀏覽器信任的網站簽發憑證。Google、Mozilla、Apple與Go專案隨即封鎖行經這些金鑰的憑證鏈；Go同日發布1.27.3與1.26.10版，其憑證驗證器會拒絕涉及這些金鑰的任何鏈，導致以這些金鑰簽發憑證的網站連線失敗。金鑰如何外洩目前仍不清楚。eMudhra為印度憑證機構。
為什麼重要：中繼CA遭入侵會動搖整個網路賴以運作的信任模型，而多家廠商迅速同步封鎖，顯示單一憑證機構出事，可能迅速波及全球一般網站的連線。
重點
- Chrome Root Program與Mozilla於10月20日確認此事
- Go 1.27.3與1.26.10會拒絕行經這八把金鑰的憑證鏈
- 金鑰外洩原因尚未公開