印度国家级CA密钥疑似泄露，你的信任链还在吗？

一家被政府授权的证书颁发机构，私钥可能已经不在自己手里了。eMudhra是印度最大的CA之一，如果签名密钥真的泄露，后果远不止某一个网站被冒用——所有曾由它签发的域名证书、API令牌、代码签名全部悬在一根线头上。攻击者不需要再攻破你的系统，只需要拿那张偷来的私钥，伪造一张在协议层完全合法的证书。这条消息在HN上只有1个点赞、0条评论，但我认为它的杀伤半径远超过讨论热度所暗示的程度。基础设施级的信任被偷走而没人讨论，沉默本身才是最危险的信号。

原文：eMudhra fall out and downstream attack scenarios · 来源：Hacker News