印度eMudhra 8 个中间 CA 私钥泄露

其实不需要访问 https://dv-g3b-emudhra.we-have-a-problem.com，打开 https://emudhra.we-have-a-problem.com/ 往下拉就能看到完整测试结果。

不过更让我意外的是，这事好像没多少佬关注？

其实还是存在被利用的可能，比如：

curl https://q3k.google.com --resolve 'q3k.google.com:443:135.181.235.221'

就有可能借此冒充 Google 域名，所以影响并不完全取决于有多少人在用这家 CA 的证书。

不是国内用不用的问题，楼主可能没说清楚。这个 ca 的私钥不是泄露，是长度非常低，其中一个的私钥甚至是 4（没错就这个）。

基本上可以批发任意网站的证书，任意的代码签名等等，有效期甚至到 2040 年，虽然对浏览器可能效果不一定好，但是大量的 iot 设备以及国内的安卓都可以被轻而易举中间人攻击了

这啥^-^ 我的隐私不会被泄漏吧

附加一个修复方法（GPT6告诉我的：

检查CRLSet 版本

edge://components
chrome://components/

对 CRLSet 版本进行更新

如果更新不了就改成直连更新看看

这个新闻我前两天也看到了，刚刚看到你说是 4，我还以为我记错了，因为印象中是 4 位。

刚刚重新看了一下新闻，卧槽私钥真的是一个数字啊，4！

把新闻丢给你的 agent 就能批发证书了，门槛几乎等于没有