---
title: "CA 私钥是数字 4，却通过了两轮审计：eMudhra 事件里的“旁观者效应” - Angryecho"
description: "印度证书颁发机构 eMudhra 的弱密钥事件，过去一周已经有不少技术报道。最近一篇在 Hacker News 上被讨论的随笔《Someone Else Checked》换了个角度：问题不只是密钥本身，而是这么多环节里，没有一个人被指派去检查它。["
canonical_url: "https://www.angryecho.com/c/hacker_news/p/P2TBBlUkccdixHixeeSe3"
meta:
  "og:description": "印度证书颁发机构 eMudhra 的弱密钥事件，过去一周已经有不少技术报道。最近一篇在 Hacker News 上被讨论的随笔《Someone Else Checked》换了个角度：问题不只是密钥本身，而是这么多环节里，没有一个人被指派去检查它。["
  "og:image": "https://www.angryecho.com/_og/d/c_Post%2Ctitle_~5ZCQ5qe9572R%2Cdescription_~5ZCQ5qe95LiA5LiL77yM5bCx5LiK5ZCQ5qe9572R44CC%2CpostId_P2TBBlUkccdixHixeeSe3%2Crevision_~MjAyNi0xMS0wM1QxMTo0ODozNS45MTE2MzFa%2Cp_Ii9jL2hhY2tlcl9uZXdzL3AvUDJUQkJsVWtjY2RpeEhpeGVlU2UzIg%2Cs_qAubGZW74-iy8dxR.png"
  "og:image:height": "630"
  "og:image:type": image/png
  "og:image:width": "1200"
  "og:title": "CA 私钥是数字 4，却通过了两轮审计：eMudhra 事件里的“旁观者效应”"
---

> Index of every page on this site: [llms.txt](https://www.angryecho.com/llms.txt)

# **CA 私钥是数字 4，却通过了两轮审计：eMudhra 事件里的“旁观者效应”**

印度证书颁发机构 eMudhra 的弱密钥事件，过去一周已经有不少技术报道。最近一篇在 Hacker News 上被讨论的随笔《Someone Else Checked》换了个角度：问题不只是密钥本身，而是这么多环节里，没有一个人被指派去检查它。\[1]\[2]

## 先看公开事实

10月17日，一名研究人员同时向苹果、谷歌、微软和 Mozilla 的根证书项目报告：eMudhra 的 8 个中间 CA 证书对应的私钥生成时随机性严重不足。\[3]\[4] 安全研究员 Scott Helme 公开写道，其中一把私钥“就是数字 4”，另外几把分别是 56、115 等，而正常的 P-384 私钥应该是一个随机的 384 位数。\[5]

谷歌称，Chrome 在收到报告后不到两小时就完成核实并屏蔽了相关中间证书，随后还将签发它们的 emSign ECC Root CA - G3 移出 Chrome 根证书库。\[3] eMudhra 在声明中表示，8 个中间证书已于10月18日全部吊销，其中 7 个从未投入生产，另一个也没签发过证书；公司还说明，这批证书生成于2025年4月30日的密钥仪式，问题在仪式流程的某一步，确切根因仍在调查。\[4]

## 两轮审计，谁也没看密钥

最刺眼的一句来自 eMudhra 自己的声明：这套证书体系在出问题前“通过了两个独立审计周期”，问题在约 18 个月里都没被发现。\[4]

随笔作者引用了 PKI 从业者 Ryan Hurst 的总结：审计检查的是控制流程，根证书项目检查的是披露材料，但没有人检查密钥本身；很多人本可以发现问题，只是没人被分配去做这件事。\[1]

## 旁观者效应

作者把这种现象和心理学上的“旁观者效应”联系起来。1968 年，心理学家 Latané 和 Darley 做过一个经典实验：受试者在房间里填问卷时，房间开始冒烟，独自一人时多数人会去报告，而和几个若无其事的人在一起时，报告的人明显少了。\[1] 这一研究的背景之一是 1964 年纽约的 Kitty Genovese 案，当年“众多邻居目击却无人报警”的说法后来被证实严重夸大。\[1]

放到 eMudhra 事件上，审计方、浏览器根证书项目、CA 自身，每一方都可能默认“别的环节已经看过了”。作者进一步延伸到日常开发：默认开源依赖有人审过、AI 生成的代码不再逐行细看，都是同一种心态。\[1] 他在结尾提出一个问题：当越来越多的检查交给机器，下一把“数字 4”会不会在没人看着的地方被生成出来。\[1]

## 来源

> \[1] [Someone Else Checked（The Pilgrim Age）](https://pilgrima.ge/p/someone-else-checked)，2026年10月24日。 \[2] [Hacker News 讨论](https://news.ycombinator.com/item?id=50227841)，2026年10月25日。 \[3] [Protecting Chrome and Android Users from Compromised eMudhra Intermediate CA Certificates（Google 博客）](https://blog.google/security/protecting-chrome-and-android-users-from-compromised-emudhra-intermediate-ca-certificates/)，2026年10月。 \[4] [eMudhra Statement on Recent Certificate Security Incident（eMudhra）](https://emudhra.com/en/post/certificate-security-incident/)，2026年10月21日。 \[5] [Indian certification authority eMudhra's private keys compromised（The Register）](https://www.theregister.com/security/2026/10/20/indian-certification-authority-emudhras-private-keys-compromised-one-of-them-was-the-number-4/5304312)，2026年10月20日。

#eMudhra #证书颁发机构 #网络安全 #安全审计 #旁观者效应 #PKI #Chrome

排序方式 :

### **成为第一条评论！**

Nobody's responded to this post yet. Add your thoughts and get the conversation going.

```json
{"@context":"https://schema.org","@graph":[{"@id":"https://www.angryecho.com/c/hacker_news/p/P2TBBlUkccdixHixeeSe3#post","@type":"DiscussionForumPosting","commentCount":0,"dateModified":"2026-11-03T11:48:35.911Z","datePublished":"2026-10-25T02:56:00.000Z","description":"印度证书颁发机构 eMudhra 的弱密钥事件，过去一周已经有不少技术报道。最近一篇在 Hacker News 上被讨论的随笔《Someone Else Checked》换了个角度：问题不只是密钥本身，而是这么多环节里，没有一个人被指派去检查它。[","headline":"CA 私钥是数字 4，却通过了两轮审计：eMudhra 事件里的“旁观者效应”","isPartOf":"https://www.angryecho.com/c/hacker_news","mainEntityOfPage":"https://www.angryecho.com/c/hacker_news/p/P2TBBlUkccdixHixeeSe3","text":"印度证书颁发机构 eMudhra 的弱密钥事件，过去一周已经有不少技术报道。最近一篇在 Hacker News 上被讨论的随笔《Someone Else Checked》换了个角度：问题不只是密钥本身，而是这么多环节里，没有一个人被指派去检查它。[1][2]\n\n先看公开事实\n\n10月17日，一名研究人员同时向苹果、谷歌、微软和 Mozilla 的根证书项目报告：eMudhra 的 8 个中间 CA 证书对应的私钥生成时随机性严重不足。[3][4] 安全研究员 Scott Helme 公开写道，其中一把私钥“就是数字 4”，另外几把分别是 56、115 等，而正常的 P-384 私钥应该是一个随机的 384 位数。[5]\n\n谷歌称，Chrome 在收到报告后不到两小时就完成核实并屏蔽了相关中间证书，随后还将签发它们的 emSign ECC Root CA - G3 移出 Chrome 根证书库。[3] eMudhra 在声明中表示，8 个中间证书已于10月18日全部吊销，其中 7 个从未投入生产，另一个也没签发过证书；公司还说明，这批证书生成于2025年4月30日的密钥仪式，问题在仪式流程的某一步，确切根因仍在调查。[4]\n\n两轮审计，谁也没看密钥\n\n最刺眼的一句来自 eMudhra 自己的声明：这套证书体系在出问题前“通过了两个独立审计周期”，问题在约 18 个月里都没被发现。[4]\n\n随笔作者引用了 PKI 从业者 Ryan Hurst 的总结：审计检查的是控制流程，根证书项目检查的是披露材料，但没有人检查密钥本身；很多人本可以发现问题，只是没人被分配去做这件事。[1]\n\n旁观者效应\n\n作者把这种现象和心理学上的“旁观者效应”联系起来。1968 年，心理学家 Latané 和 Darley 做过一个经典实验：受试者在房间里填问卷时，房间开始冒烟，独自一人时多数人会去报告，而和几个若无其事的人在一起时，报告的人明显少了。[1] 这一研究的背景之一是 1964 年纽约的 Kitty Genovese 案，当年“众多邻居目击却无人报警”的说法后来被证实严重夸大。[1]\n\n放到 eMudhra 事件上，审计方、浏览器根证书项目、CA 自身，每一方都可能默认“别的环节已经看过了”。作者进一步延伸到日常开发：默认开源依赖有人审过、AI 生成的代码不再逐行细看，都是同一种心态。[1] 他在结尾提出一个问题：当越来越多的检查交给机器，下一把“数字 4”会不会在没人看着的地方被生成出来。[1]\n\n来源\n\n\n\n[1] Someone Else Checked（The Pilgrim Age），2026年10月24日。\n[2] Hacker News 讨论，2026年10月25日。\n[3] Protecting Chrome and Android Users from Compromised eMudhra Intermediate CA Certificates（Google 博客），2026年10月。\n[4] eMudhra Statement on Recent Certificate Security Incident（eMudhra），2026年10月21日。\n[5] Indian certification authority eMudhra's private keys compromised（The Register），2026年10月20日。\n\n#eMudhra #证书颁发机构 #网络安全 #安全审计 #旁观者效应 #PKI #Chrome","url":"https://www.angryecho.com/c/hacker_news/p/P2TBBlUkccdixHixeeSe3","author":{"@type":"Person","name":"UID:60190667","url":"https://www.angryecho.com/u/NGA60190667"},"interactionStatistic":[{"@type":"InteractionCounter","interactionType":"https://schema.org/LikeAction","userInteractionCount":0},{"@type":"InteractionCounter","interactionType":"https://schema.org/DislikeAction","userInteractionCount":0},{"@type":"InteractionCounter","interactionType":"https://schema.org/ViewAction","userInteractionCount":1},{"@type":"InteractionCounter","interactionType":"https://schema.org/ShareAction","userInteractionCount":0}]}]}
```

## Sitemap

See the full [sitemap](https://www.angryecho.com/sitemap.md) for all pages.