印度憑證機構eMudhra爆發私密金鑰外洩與密碼強度過低漏洞，三大瀏覽器緊急封鎖其憑證。

印度知名憑證機構（Certificate Authority, CA）eMudhra近日驚傳安全漏洞，其用於數位憑證簽發的核心私密金鑰遭到外洩。資安研究人員進一步調查發現，這批外洩的金鑰中，部分金鑰的設定極度不安全，其密碼強度竟然僅有單一數字。這項嚴重的安全疏失不僅形同對網路安全防線開了一扇大門，也迫使全球主要瀏覽器開發商Mozilla、Google與Apple採取緊急行動，紛紛宣佈封鎖該機構所發行的憑證，以防止全球用戶遭受惡意攻擊或中間人攔截。

在現代密碼學與網際網路的安全架構中，憑證機構扮演著至關重要的「數位公證人」角色。它們負責發行、簽署並管理數位憑證，用以核實伺服器或網站所擁有公開金鑰的真實身分。當用戶透過HTTPS等加密協議瀏覽全球資訊網時，瀏覽器便是依賴這些受信任的第三方憑證機構來確保連線安全，確認使用者正在與合法的伺服器通訊，而不是遭到偽造或竊聽。除了確保網頁瀏覽安全外，這類憑證也被廣泛應用於各國政府的電子身分證及電子文件簽署，是數位信任體系的核心基石。

然而，eMudhra此次爆出的安全瑕疵，無疑是狠狠擊碎了信任鏈的最底層。私密金鑰作為憑證機構簽署數位憑證的最高機密憑藉，理應受到最高規格的實體與數位保護，並具備足夠的亂數強度與複雜度。然而，部分金鑰竟採用個位數的極簡設定，這不僅違反了密碼學的基本安全原則，更暴露出該機構在內部資安管理與金鑰生命週期控制上的嚴重疏漏，讓駭客能輕易破解並偽造受信賴的數位憑證。

為了遏止潛在的資安災難擴大，各大科技巨頭展現了高度的防範意識。Google的Chrome、Mozilla的Firefox以及Apple的Safari等主流瀏覽器開發商，在確認事件嚴重性後，第一時間選擇將該機構的相關憑證自信任清單中移除或予以封鎖。此舉雖然能有效阻斷受影響憑證可能帶來的安全威脅，但對於依賴eMudhra憑證服務的企業與組織而言，卻也可能導致相關網站與服務出現憑證失效的警示，進而影響正常營運，凸顯出單一憑證機構失守所帶來的骨牌效應。

對台灣而言，此事件再次突顯全球數位供應鏈與資安信任體系中「木桶理論」的現實，即整體網路安全的強度往往取決於最脆弱的那一個環節。隨著台灣企業積極推動數位轉型與跨國供應鏈資安合規，對於合作夥伴的數位憑證來源、憑證機構的合規性與稽核機制，必須保持高度的風險意識。這起事件同時也提供國內相關單位借鏡，在推動憑證業務或電子簽章應用時，必須嚴格落實金鑰管理與資安稽核，以防範類似的低級失誤在國內上演。