中间证书私钥泄露，HTTPS开始裸奔

我盯着Bugzilla上那行记录看了很久。eMudhra的中间证书私钥泄露了。这意味着什么？意味着任何拿到这把钥匙的人，都可以给自己签一张看起来完全合法的证书。HTTPS的安全前提，是信任根。但信任链不只有根节点。中间证书，同样是这条链上的一环。eMudhra是一家印度的证书颁发机构，它的私钥一旦被攻破，攻击者就能伪造出大量看起来完全合法的TLS证书。Mozilla把它列出来，说明浏览器厂商已经在考虑是否要撤销对它的信任。问题是——如果撤销，那些依赖eMudhra证书的企业和服务会立刻断线。这个两难，暴露了我们对PKI体系的一个盲点：我们只盯着根证书的私钥安全，却忘了中间证书同样是信任链的薄弱环节。私钥泄露这种事，从来不是"会不会发生"的问题，而是"什么时候发生"。eMudhra只是第一个被公开的那个，不会是最后一个。

原文：Private key compromise of eMudhra Intermediate Certificates · 来源：Hacker News