证书颁发机构 eMudhra 被指无视 Mozilla 根证书调查的截止期限，并将事件后果归咎于社交媒体。争议围绕 Bugzilla Bug 2083449 展开，该缺陷在五天前提交，目前仍处于活动状态，隶属于 CA Certificate Compliance 组件。
此案始于 10 月 17 日。Mozilla 通过 certificates@mozilla.org 收到一份报告，该报告由 Chrome Root 计划转发，报告人署名为 Wayne。报告称 eMudhra 的 8 份中间证书的私钥已遭泄露，并附有对全部八份证书的密钥控制证明。Mozilla 确认该证明有效，并通过 OneCRL 在 Firefox 中对这些证书启动不信任程序，该步骤于 UTC 时间 22:59 完成。eMudhra 当晚稍后确认收到报告，并表示已通知 Sectigo，后者曾为部分受影响证书进行交叉签名。Mozilla 独立恢复了私钥，表明密钥生成过程存在缺陷，且极易被利用。
受影响的证书中有六份是 TLS 证书，受 Chrome、Mozilla、Microsoft 和 Apple 根证书计划信任。其余两份是受 Microsoft 信任的代码签名证书。10 月 18 日，eMudhra 将这八份证书标记为已吊销，吊销原因为“CA Compromise”。
随附材料包括证明文件、CRL 签名文件、HSM 映射表格以及一份问题 PDF，表明调查仍在进行，最新更新仅在 37 分钟前发布。
来源: Hacker News · 由HeadlinesBriefing整理摘要