据披露，数字证书认证机构 eMudhra 的八个中间证书颁发机构（CA）私钥发生泄露。这些中间证书链根植于 Mozilla、Microsoft、Apple 和 Chrome 根证书计划所信任的根证书，并广泛存在于众多下游信任库中。
事件披露与验证
为证实私钥泄露事实，报告人 Wayne 于 10 月 17 日利用这八个中间 CA 的私钥对特定消息进行签名，并向各大根证书项目团队提交报告。公开的 proof.zip 文件包含该消息、对应证书、公钥及签名，可通过 OpenSSL 工具进行技术验证。
主流平台响应进度
各大根证书项目及下游信任库已迅速采取保护措施。Firefox 和 Chrome 自 10 月 17 日起已阻止相关证书；Apple 设备自 10 月 19 日起生效；Microsoft 则自 10 月 20 日起执行阻断策略。该问题已于 10 月 19 日向下游信任库负责任地披露，多数厂商正在发布或已发布安全更新。
安全风险与缓解措施
持有泄露私钥的攻击者具备冒充任意网站或服务的能力。目前，Mozilla、Microsoft、Apple 和 Chrome 已通过 OneCRL、CRLite 和 CRLSets 等吊销信息分发工具为用户解决风险。涉事 CA 也已吊销受影响的中间证书。
然而，由于许多客户端不主动处理吊销信息，仅靠吊销列表无法完全消除风险，必须通过软件更新来确保系统不再信任这些受损的中间证书。因此，用户应尽快将浏览器和操作系统更新至最新版本。
Linux 系统临时应对方案
在发行版推送更新的 ca-certificates 包之前，高级用户可在系统信任库中手动取消信任受影响的根证书。此举不建议普通用户操作，具体命令因发行版而异：
- Debian/Ubuntu：修改
/etc/ca-certificates.conf并运行update-ca-certificates。 - Alpine：安装 ca-certificates 后修改配置文件并更新。
- Fedora/RHEL/CentOS 等：使用
trust extract将受影响证书加入黑名单目录（blocklist/blacklist），随后运行update-ca-trust。 - openSUSE/SLES：类似 RHEL 流程，将证书提取至信任黑名单并更新。
- Arch Linux：将受影响证书提取至块列表目录并更新信任库。
更多技术细节及受影响中间证书的指纹、SPKI 哈希值等信息，可参考相关 GitHub 仓库中的 affected-certificates.json 文件。信任库运营商可参阅 Mozilla dev-security-policy 论坛的相关讨论线程以获取进一步指导。