在密码学的世界里，如果有人告诉你，一个用来保护千百万用户加密流量的中间证书，其私钥竟然是一个只有一位数的阿拉伯数字“4”，你绝对会认为这是一个劣质的极客笑话。但令人倒吸一口凉气的是，这件离谱到极点的事情真实发生在了全球排得上号的 CA 机构身上
作为印度唯一一家被各大主流浏览器（如 Chrome、Firefox、Safari 等）原生信任的根证书颁发机构，eMudhra 在 2026 年迎来了它的至暗时刻。在经历了堪称行业级灾难的丑闻曝光后，这家截至 2026 年已累计发行超过 6000 万张证书的数字信任巨头，终于扛不住全球网络安全社区的口诛笔伐与信任破产，黯然宣布断臂求生。
荒诞的底层灾难：当顶级加密私钥变成“4”
整场风暴的核心起因，是网络安全研究人员近期在审计时发现了一个令人窒息的漏洞：eMudhra 旗下的八个中间证书（Intermediate Certificates）的私钥竟然遭到了泄露，并且这些私钥根本不是通过高强度随机熵源生成的几千位加密字符串，而是极度简单的单数字——其中一个私钥赫然就是数字“4”。
在公钥基础设施（PKI）体系中，中间证书的权限极高。它们由根证书签名，负责向最终的网站和服务器颁发 SSL/TLS 证书。这就意味着，任何掌握了这个“私钥 4”的黑客，都可以完美伪造这八个中间机构的身份，堂而皇之地为全球任何一个域名（比如各大银行、交易所、科技巨头）签发看似绝对合法的伪造证书，进而对用户的 HTTPS 流量发动无缝的中间人攻击（MITM）。这种级别的漏洞，几乎等于把互联网的信任基石直接扔进了垃圾桶。
致命的连环失误：真假密钥组的乌龙事件
面对这种毫无下限的安全事故，eMudhra 官方显然无法继续保持沉默。根据 eMudhra 发布的官方声明披露，这场灾难是由“多重人为错误”叠加软件缺陷所共同酿成的。
事故的具体时间可以追溯到 2025 年 4 月 30 日的密钥生成仪式（Key Generation Ceremony）。当时，运维团队使用了一台专门的硬件安全模块（HSM）来生成高强度的加密密钥对。到这一步为止，操作都是符合行业规范的。然而，在配套的软件流程中，一个写满了 Bug 的自动化脚本在后台自作主张地生成了另一组毫无安全性可言的“弱密钥”。
如果是正常流程，这种弱密钥会被立刻销毁。但荒唐的是，由于这两组密钥（HSM 生成的真密钥与脚本生成的弱密钥）的文件命名极其相似，现场参与操作的员工在最终配置时发生了低级的“视觉混淆”，直接错误地选中了那组弱密钥并将其部署到了生产环境中。于是，包含“4”这种荒谬私钥的中间证书，就这样堂而皇之地运行了数月之久。
退出全球 CA 市场：行业信任的崩塌与转型
CA 机构的唯一核心资产就是“信任”。当证明这套信任体系的私钥可以被键盘上随便敲下的一个数字所替代时，这家机构在浏览器厂商面前的信誉也就彻底归零了。
在这份迟来的声明中，eMudhra 宣布将彻底退出全球 SSL/TLS 证书业务。公司高层表示，未来 eMudhra 的战略重心将全面转向核心的企业内部解决方案和封闭环境下的信任服务。对于已经被主流浏览器列入吊销名单的旧证书体系而言，这不过是给这起行业大笑话画上了一个并不体面的句号。
这起事件给整个 Web 安全基础设施敲响了一记震耳欲聋的警钟：不管你采购了多么昂贵的 HSM 硬件，也不管你的合规报表写得多么漂亮，只要在人机交互的最后一厘米存在脚本缺陷和人工疏忽，千万级用户的数字安全防线就会在瞬间土崩瓦解。
本报道由 圈小蛙（qxwa.com） 科技资讯站特约撰稿。🐸️