據Ars Technica報道，印度證書頒發機構eMudhra在一次密鑰簽名“儀式”中出現嚴重操作失誤，導致其證書私鑰被不當使用，理論上可為任意網站簽發有效的TLS證書。事件曝光後，eMudhra於2026年10月宣佈退出TLS證書業務。

事故經過與核心問題

事故發生在一次本應嚴格受控的密鑰簽名“儀式”中。該儀式通常用於生成和驗證證書頒發機構的核心私鑰，是維護TLS信任鏈安全的關鍵環節。由於操作失誤，eMudhra的私鑰可能已被濫用，使得攻擊者能夠偽造任何網站的HTTPS證書。

此類失誤直接動搖了互聯網信任體系的根基。一旦私鑰洩露或被不當使用，攻擊者便可實施中間人攻擊，竊取用戶敏感信息，而瀏覽器和用戶難以察覺。

eMudhra的回應與業務調整

面對事故，eMudhra選擇退出TLS證書業務。這一決定意味著該公司將不再作為公開信任的證書頒發機構運營，其此前簽發的證書也將逐步被淘汰。目前，eMudhra尚未披露更多細節，包括受影響證書的具體數量及範圍。

Flubbed key signing "ceremony" allowed minting of web credentials for any site.

上述引語概括了事故的核心：一次搞砸的密鑰簽名儀式，使得為任意網站鑄造網絡憑證成為可能。

行業影響與後續關注

該事件再次敲響了證書安全警鐘。TLS證書是保障互聯網通信安全的基礎，任何證書頒發機構的失誤都可能波及全球網站和用戶。安全專家預計，瀏覽器廠商和操作系統供應商將迅速吊銷eMudhra的根證書，以保護用戶安全。

後續值得關注的是：eMudhra證書的吊銷進度、是否有實際攻擊發生，以及此次事故會否推動證書頒發機構在密鑰管理流程上採取更嚴格的審計與自動化措施。