据Ars Technica报道，印度证书颁发机构eMudhra在一次密钥签名“仪式”中出现严重操作失误，导致其证书私钥被不当使用，理论上可为任意网站签发有效的TLS证书。事件曝光后，eMudhra于2026年10月宣布退出TLS证书业务。

事故经过与核心问题

事故发生在一次本应严格受控的密钥签名“仪式”中。该仪式通常用于生成和验证证书颁发机构的核心私钥，是维护TLS信任链安全的关键环节。由于操作失误，eMudhra的私钥可能已被滥用，使得攻击者能够伪造任何网站的HTTPS证书。

此类失误直接动摇了互联网信任体系的根基。一旦私钥泄露或被不当使用，攻击者便可实施中间人攻击，窃取用户敏感信息，而浏览器和用户难以察觉。

eMudhra的回应与业务调整

面对事故，eMudhra选择退出TLS证书业务。这一决定意味着该公司将不再作为公开信任的证书颁发机构运营，其此前签发的证书也将逐步被淘汰。目前，eMudhra尚未披露更多细节，包括受影响证书的具体数量及范围。

Flubbed key signing "ceremony" allowed minting of web credentials for any site.

上述引语概括了事故的核心：一次搞砸的密钥签名仪式，使得为任意网站铸造网络凭证成为可能。

行业影响与后续关注

该事件再次敲响了证书安全警钟。TLS证书是保障互联网通信安全的基础，任何证书颁发机构的失误都可能波及全球网站和用户。安全专家预计，浏览器厂商和操作系统供应商将迅速吊销eMudhra的根证书，以保护用户安全。

后续值得关注的是：eMudhra证书的吊销进度、是否有实际攻击发生，以及此次事故会否推动证书颁发机构在密钥管理流程上采取更严格的审计与自动化措施。