万能私钥居然是4：印度证书机构 eMudhra 荒诞泄密始末

理论上，要伪造一个全世界浏览器都信任的 HTTPS 网站证书，你得猜对一个长达 116 位的巨型天文数字。

但前几天被安全专家当场破解的一把万能私钥，其实只有一个数字：

4。

对，你没看错，就是阿拉伯数字 4。

这不是什么黑客电影里的桥段，是真实发生在互联网公钥基础设施里的荒诞事故。

这把私钥的主人，是印度著名的商业数字证书机构 eMudhra。

它管着六个用于网站加密的中间证书，以及两个软件代码签名证书。

在互联网的信任体系里，根证书机构就像造币厂，把盖章的权力分给中间证书机构。

中间证书机构拿着属于自己的私钥，给全网各个网站签发受信任的数字证书。

也就是说，谁拿到了这个中间证书的私钥，谁就能在自己电脑上给任意网站盖上合法的公章。

无论是 Google、苹果，还是各大跨国银行。

只要攻击者截获了网络流量，把伪造的证书往浏览器面前一摆，浏览器就会老老实实亮起安全绿锁。

中间人攻击的门槛，直接被夷为平地。

为什么这个私钥本该是 116 位的天文数字？

因为 eMudhra 的这批证书，使用的是美国国家标准与技术研究院定义的 P-384 椭圆曲线算法。

在椭圆曲线密码学里，私钥是一个长达 384 位的二进制大随机数。

换算成我们熟悉的十进制，就是大约 116 位长的一串数字。

公钥则是把一个固定的基点，在复杂的数学曲线上连续相加这把私钥对应的次数。

正向做乘法快如闪电，但反向要想通过公钥倒推出私钥，属于数学上公认的离散对数难题。

在两的三百八十四次方这个浩瀚的空间里，就算动用人类现存所有的超级计算机算到宇宙尽头，也不可能强行暴力破解出来。

这本来是整个现代互联网加密通信的底座。

但安全研究员 Wayne 发现了一件让人目瞪口呆的事。

当他查看 eMudhra 公开在网上的中间证书公钥时，发现曲线上的点根本没有跑远。

他写了个简单的脚本试了试，结果当场看傻了。

整整八张中间证书，对应的私钥全都在单字节的极小整数里：

4、56、66、115、155、156、230、237。

八把钥匙，没有一个超过 256。

其中最短的那把钥匙，就等于 4。

这意味着什么？

这意味着公钥在椭圆曲线上只往前加了四次。

哪怕用一台普通的旧笔记本电脑，连一毫秒都用不上，随手一跑就能把私钥硬猜出来。

为了向各大浏览器厂商证明事态有多严重，Wayne 用这八把算出来的私钥分别完成签名。

他在签名内容里留了一句话：

我们这里出大问题了。

落款是 Wayne。

消息在 2026 年 10 月 17 日递交给了各大根证书管理团队。

火狐浏览器所属的 Mozilla 团队立刻立项，追踪编号为 Bug 2083449。

不到三个小时，Mozilla 就通过火狐后台的集中吊销机制 OneCRL，向全球用户推送了紧急拦截。

谷歌的 Chrome、苹果、微软以及各大云服务商也迅速跟进，紧急把这批证书踢出了信任名单。

负责根信任背书的 Sectigo 也同步吊销了交叉签名。

但真正让人后背发凉的，是这八把裸奔的钥匙到底是怎么诞生的。

在数字安全行业里，中间证书机构生成核心私钥，有一套极其庄严的规定动作：

密钥生成仪式。

这个仪式听起来就像科幻小说里的情节。

它必须在一间与外界物理隔绝、没有任何网络连接的安全机房里进行。

进出机房需要多道门禁，全程有高清摄像头录像。

操作必须由多名持有分段物理智能卡的安全官同时到场，协同刷卡才能解锁硬件安全模块。

现场还要有国际审计机构的审计师穿着西装，拿着纸笔和清单，逐项打勾见证。

根据 eMudhra 事后公布的调查记录，这个防备森严的仪式在 2025 年 4 月就已经办完了。

但在仪式进行时，工程师运行的自动化脚本出现了一个低级错误。

脚本在硬件安全模块里意外生成了一组单字节的极弱测试密钥。

因为这组测试密钥的标签命名和正式密钥非常接近，现场操作人员选错了密钥对。

更绝的是什么？

机房是物理隔绝的，门禁是多重认证的，操作人员是按章签字的，审计师是在场监督的。

但从头到尾，没有任何人写一段三行代码的自动化测试，去检查一下生成出来的私钥熵值和长度是不是正常。

合规流程画满了勾，仪式圆满结束。

然后，这八张用单字节弱密钥签发出来的中间证书，在公共互联网上堂而皇之地挂了一年半。

直到被外面的独立研究员看了一眼。

现代密码学的数学堡垒依然坚固，两的三百八十四次方依然没人能破。

但守门人亲手把锁芯换成了一根牙签，还给它贴上了一整套合规防伪标签。