CA 私钥是数字 4，却通过了两轮审计：eMudhra 事件里的“旁观者效应”

印度证书颁发机构 eMudhra 的弱密钥事件，过去一周已经有不少技术报道。最近一篇在 Hacker News 上被讨论的随笔《Someone Else Checked》换了个角度：问题不只是密钥本身，而是这么多环节里，没有一个人被指派去检查它。[1][2]

先看公开事实

10月17日，一名研究人员同时向苹果、谷歌、微软和 Mozilla 的根证书项目报告：eMudhra 的 8 个中间 CA 证书对应的私钥生成时随机性严重不足。[3][4] 安全研究员 Scott Helme 公开写道，其中一把私钥“就是数字 4”，另外几把分别是 56、115 等，而正常的 P-384 私钥应该是一个随机的 384 位数。[5]

谷歌称，Chrome 在收到报告后不到两小时就完成核实并屏蔽了相关中间证书，随后还将签发它们的 emSign ECC Root CA - G3 移出 Chrome 根证书库。[3] eMudhra 在声明中表示，8 个中间证书已于10月18日全部吊销，其中 7 个从未投入生产，另一个也没签发过证书；公司还说明，这批证书生成于2025年4月30日的密钥仪式，问题在仪式流程的某一步，确切根因仍在调查。[4]

两轮审计，谁也没看密钥

最刺眼的一句来自 eMudhra 自己的声明：这套证书体系在出问题前“通过了两个独立审计周期”，问题在约 18 个月里都没被发现。[4]

随笔作者引用了 PKI 从业者 Ryan Hurst 的总结：审计检查的是控制流程，根证书项目检查的是披露材料，但没有人检查密钥本身；很多人本可以发现问题，只是没人被分配去做这件事。[1]

旁观者效应

作者把这种现象和心理学上的“旁观者效应”联系起来。1968 年，心理学家 Latané 和 Darley 做过一个经典实验：受试者在房间里填问卷时，房间开始冒烟，独自一人时多数人会去报告，而和几个若无其事的人在一起时，报告的人明显少了。[1] 这一研究的背景之一是 1964 年纽约的 Kitty Genovese 案，当年“众多邻居目击却无人报警”的说法后来被证实严重夸大。[1]

放到 eMudhra 事件上，审计方、浏览器根证书项目、CA 自身，每一方都可能默认“别的环节已经看过了”。作者进一步延伸到日常开发：默认开源依赖有人审过、AI 生成的代码不再逐行细看，都是同一种心态。[1] 他在结尾提出一个问题：当越来越多的检查交给机器，下一把“数字 4”会不会在没人看着的地方被生成出来。[1]

来源

[1] Someone Else Checked（The Pilgrim Age），2026年10月24日。 [2] Hacker News 讨论，2026年10月25日。 [3] Protecting Chrome and Android Users from Compromised eMudhra Intermediate CA Certificates（Google 博客），2026年10月。 [4] eMudhra Statement on Recent Certificate Security Incident（eMudhra），2026年10月21日。 [5] Indian certification authority eMudhra's private keys compromised（The Register），2026年10月20日。

#eMudhra #证书颁发机构 #网络安全 #安全审计 #旁观者效应 #PKI #Chrome