#印度公司让全球互联网进入紧急状态# 我真服了印度人，凭一己之力让全球互联网进入紧急状态。。。印度公司 emudhra 的 emsign 系列证书在私钥里只用了1字节的有效熵，攻击者只需要猜255次就能猜中私钥。

旗下的几乎所有证书都受影响，又因为这些证书里包括受到全球 CA 机构信任的根证书以及 CA 中间证书，相当于三哥们凭一己之力直接把全网 https/tls 流量全都变成了明文流量。最简单的一种后果：假如你现在不更新设备，那么别人可以轻松伪造 emsign 的证书拦截你和大模型通信的流量，扒你的数据、盗你的 API key，然后酷酷刷你账单。而且最要命的是，出现这种问题之后的修复很麻烦。机构的反应很快：从 17 号开始，Chrome、Firefox、苹果、微软这些公司就已经在系统层面停止信任 emsign 的证书了。

但是真正恶心的是，绝大多数物联网设备以及网上的服务器设施，它们的证书依赖 Linux 系统里边的 CA certificate 包。假如运维人员不主动更新或者推送更新的话，这些设备永远会信任这批有问题的根证书。换句话说，这种问题是最粘鞋底儿的那种，它的长尾收尾进程会非常漫长。。。尤其是很多设备已经支持周期之外了，以及很多服务器压根没人管的。总之，太恶心了。怎么会有人这么设计私钥啊。