# eMudhra（emSign）：印度 CA 与 2026 年私钥泄露事件

> eMudhra 的 emSign CA：2026 年 10 月 8 个子 CA 私钥泄露，Chrome 移除 ECC Root CA - G3，并对 Root CA - G1 设定截止日期。

Source: https://ssl.sh/zh/cas/emudhra/
Last updated: 2026-11-10

eMudhra 是一家印度公司，旗下 emSign 证书颁发机构签发 TLS、S/MIME、签名和客户端证书。2026 年 10 月，它的 8 个子 CA 被发现私钥已泄露，Chrome 随即屏蔽了这些子 CA，移除了 emSign ECC Root CA - G3 根证书，并对另一张主要根证书设定了截止日期。

## 所有者与总部

CCADB 中的 CA 所有者是 eMudhra Technologies Limited，根证书中的组织名同为“eMudhra Technologies Limited”，国家为 IN（印度）。emSign 是 eMudhra 销售证书使用的品牌。

## 根证书

截至 2026 年 11 月，CCADB 的 TLS 报告列出 emSign 的 6 张根证书。emSign Root CA - G1（RSA 2048，2018–2043 年）仍被 Chrome、Mozilla、Apple、微软信任用于 TLS。emSign ECC Root CA - G3 在 Chrome 中标为“Blocked”，Mozilla 已移除，Apple 和微软仍收录。emSign Root CA - C1 和 ECC Root CA - C3 已被 Chrome 和 Mozilla 移除。2024 年的新根证书 emSign Root TLS CA - G1 和 G3 目前只进入了微软根存储。

## 证书产品

DV、OV、EV TLS 证书，S/MIME、代码签名、客户端认证和文档签名证书，通过 CERTInext 平台和合作伙伴销售。

## ACME 支持

eMudhra 的文档介绍了通过 CERTInext 使用 ACME：用 certbot、acme.sh 等标准客户端，配上 CERTInext 控制台生成的 EAB 密钥和 emSign 的 ACME 地址即可。

## 免费证书

eMudhra 不提供免费的公开受信任 TLS 证书。

## 重大事件

2026-10-17 18:05 UTC，一名安全研究者向 Chrome 根证书计划报告：eMudhra 8 个子 CA 的私钥由弱随机数生成，任何人都可能借此伪造受信任的证书。Chrome 核实后，在 19:45 UTC 前推送了屏蔽这些中间证书的 CRLSet 更新；安卓设备通过 Google Play 服务收到了同等更新。Google 表示，在屏蔽之前，这些 CA 签发的证书都没有被记录到证书透明度日志。随后 Chrome 移除了 emSign ECC Root CA - G3，预计 2026-10-27 推送到设备，并要求链到它的网站立即更换证书。2026-11-04，Google 又对 emSign Root CA - G1 设定了截止日期：Chrome 153 起，最早 [SCT](https://ssl.sh/zh/glossary/sct/) 晚于 2026-11-16 23:59:59 UTC 的证书不再受信任。这次处置速度远快于 2024 年对 [Entrust](https://ssl.sh/zh/cas/entrust/) 的逐步不信任，因为私钥泄露意味着已经可以伪造证书。如果不确定自己的证书来自哪家 CA，可以用 SSL 检查工具查看证书链的最后一级；凡是链到 emSign ECC Root CA - G3 的证书都要立即更换，链到 emSign Root CA - G1 的则要在 2026-11-16 之后的下一次续期前换到其他 CA。


## 根证书（CCADB）

eMudhra 在 CCADB TLS 报告里有 6 张根证书，它们一共签发了 83 张中间证书，其中 46 张仍有效。

| 根证书 | 密钥 | 到期时间 | Chrome | Mozilla | Apple | Microsoft | 中间证书 | SHA-256 |
|---|---|---|---|---|---|---|---|---|
| emSign ECC Root CA - C3 | ECDSA P-384 | 2043-02-18 | 已移除 | 已移除 | 未收录 | 已收录 | 9 | BC4D809B15189D78DB3E1D8CF4F9726A795DA1643CA5F1358E1DDB0EDC0D7EB3 |
| emSign ECC Root CA - G3 | ECDSA P-384 | 2043-02-18 | 已拉黑 | 已移除 | 已收录 | 已收录 | 15 | 86A1ECBA089C4A8D3BBE2734C612BA341D813E043CF9E8A862CD5C57A36BBE6B |
| emSign Root CA - C1 | RSA 2048 | 2043-02-18 | 已移除 | 已移除 | 未收录 | 已收录 | 16 | 125609AA301DA0A249B97A8239CB6A34216F44DCAC9F3954B14292F2E8C8608F |
| emSign Root CA - G1 | RSA 2048 | 2043-02-18 | 已收录 | 已收录 | 已收录 | 已收录 | 10 | 40F6AF0346A99AA1CD1D555A4E9CCE62C7F9634603EE406615833DC8C8D00367 |
| emSign Root TLS CA - G1 | RSA 4096 | 2049-02-07 | 未收录 | 未收录 | 未收录 | 已收录 | 17 | CEF71E70B7C29ADDF6C30CD19E614B38FD5F02A435A0EEDDD0087E183D101A51 |
| emSign Root TLS CA - G3 | ECDSA P-384 | 2049-02-07 | 未收录 | 未收录 | 未收录 | 已收录 | 16 | 7DD78D5F4F13459A83DFF9ABBBA62EDBAF6F2D102BF257FD712F4D9F2746ED8D |

## CAA 记录

CCADB 登记了 1 个被 eMudhra 当前有效中间证书认可的 CAA 签发者域名。在域名的 CAA 里用其中任意一个写一条 issue 记录，就允许 eMudhra 为它签发证书。包含 CA 名称的域名排在前面，其余按认可它的有效中间证书数量排序。

```
example.com. CAA 0 issue "emsign.com"
```

## 审计信息

CCADB 为 eMudhra 的 TLS 根证书登记的审计信息。审计机构：BDO International Limited。最近一次审计期间截至 2026-05-31。

- 标准审计: WebTrust 2025-06-01 – 2026-05-31 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=3d8070c2-71d2-4f93-bd21-e79f18dbe93d)
- 网络安全审计: WebTrust 2025-06-01 – 2026-05-31 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=edaaaee5-c92d-4b44-a725-7b82d61194a1)
- TLS 基线要求审计: WebTrust 2025-06-01 – 2026-05-31 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=54ae9da3-4bdb-4d96-9081-ae5f5a10c2fe)
- TLS EV 指南审计: WebTrust 2025-06-01 – 2026-05-31 (https://www.cpacanada.ca/api/getPDFWebTrust?attachmentId=a47629e8-17c2-434b-a685-daf4d3c8328d)

## CP/CPS 文档

eMudhra 在 CCADB 为其 TLS 根证书登记的证书策略（CP）和认证业务规则（CPS）链接及生效日期：

- CP/CPS: https://repository.emsign.com/cps/codesigning/Code-Signing-CP-CPS-v1.02.pdf
- Markdown CP/CPS: https://repository.emsign.com/cps/ssl/SSL-TLS-CP-CPS-v1.09.md
- Markdown CP/CPS: https://repository.emsign.com/cps/CP-CPS-v1.25.md

## 问题上报渠道

要上报错误签发的证书、私钥泄露或证书滥用，请用 eMudhra 在 CCADB 登记的渠道（邮箱地址里的 [at]、[dot] 换成 @ 和 .）：

- problem-reporting[at]emsign[dot]com

## 事故记录

加入 Mozilla 根证书计划的 CA 出了合规问题，要在 Mozilla Bugzilla 提交事故报告（产品 CA Program，组件 CA Certificate Compliance）。下面的链接搜索标题里含“eMudhra”这些词的报告： https://bugzilla.mozilla.org/buglist.cgi?query_format=advanced&product=CA+Program&component=CA+Certificate+Compliance&short_desc_type=allwords&short_desc=eMudhra&order=changeddate+DESC

## 常见问题

**我的证书链到 emSign 根证书，该怎么办？**

如果链到 emSign ECC Root CA - G3，请立即换成其他 CA 的证书，Chrome 已不再信任该根证书。如果链到 emSign Root CA - G1，2026-11-16 之后首次记录到 CT 的证书将不被 Chrome 153 及以后版本信任，应在下次续期前换到其他 CA。

**允许 eMudhra 签发证书的 CAA 记录怎么写？**

写一条 example.com. CAA 0 issue "emsign.com" 即可。CCADB 为 eMudhra 登记了 1 个认可的域名：emsign.com。

**eMudhra 由谁审计？**

按 CCADB 记录，审计机构是 BDO International Limited。最近一次TLS 基线要求审计（WebTrust）覆盖 2025-06-01 至 2026-05-31，报告日期 2026-08-06。

**怎么向 eMudhra 上报有问题的证书？**

用 CCADB 登记的渠道：problem-reporting[at]emsign[dot]com。

来源：CCADB 的 All Certificate Information（V5）、List of CAA Identifiers、List of CA problem reporting mechanisms 和 TLS Server Authentication 报告（ccadb.org/resources）。