新聞

印度數位憑證業者eMudhra旗下8張中繼憑證授權機構（Certificate Authority，CA）憑證的私密金鑰存在安全問題，研究人員發現，這些金鑰可從公開憑證輕易還原。其中6張中繼CA憑證可用於簽發TLS憑證，攻擊者可能利用相關金鑰偽造HTTPS憑證，冒充合法網站或服務。為防範這類風險，Google、Mozilla及Go程式語言專案已陸續採取防護措施。

根據Mozilla公開的事件追蹤紀錄，eMudhra初步調查發現，金鑰產生指令碼可能存在錯誤，導致較弱的金鑰被誤用於中繼CA憑證簽署。至於這批憑證的實際使用情況，eMudhra在10月20日發布聲明，表示8張受影響的中繼CA憑證中，只有1張曾部署至正式環境，而且均未核發終端實體憑證，根CA私密金鑰也未受到影響。目前該公司仍在調查事件原因。

Google已透過Chrome的CRLSet機制封鎖受影響的中繼CA金鑰，使用者不必更新或重新啟動瀏覽器，Android裝置也已透過Google Play服務取得防護更新。不過，考量其他軟體未必採用相同的憑證封鎖機制，Google進一步決定將簽發這批中繼CA憑證的emSign ECC Root CA - G3根憑證從Chrome Root Store移除，預計10月27日向使用該憑證儲存區的裝置推出更新。這項決定也可能影響其他使用該根CA憑證鏈的網站，即使網站沒有使用受影響的中繼CA憑證，仍須改用Chrome信任的其他憑證授權機構核發TLS憑證，以免網站連線受到影響。

除了Google，Mozilla也透過Firefox的OneCRL機制封鎖相關憑證，並發布Firefox安全更新及Mozilla網路安全服務（NSS）程式庫更新版本。對於使用Go開發的應用程式，Go程式語言專案已發布Go 1.27.3及1.26.10，調整憑證驗證功能，避免繼續信任受影響的中繼CA憑證。使用受影響Go版本建置的應用程式，則需更新Go版本並重新建置，才能取得防護。

這起事件的影響也不僅限於瀏覽器。Cloudflare在技術分析中提醒，企業應用程式可能採用不同的TLS憑證驗證機制，即使Chrome、Firefox已封鎖受影響憑證，其他軟體仍可能繼續信任這些中繼CA憑證。因此，企業除了確認網站及API服務是否受到Google移除根CA憑證的影響，也應檢查內部應用程式的憑證驗證機制。研究人員建立的事件追蹤網站也提供測試網址與因應指引，協助管理員確認相關軟體是否仍信任受影響憑證。