eMudhra 退出 TLS 业务，G3 证书链需先于到期日检查

如果网站证书的信任链通向 emSign ECC Root CA - G3，就可能需要在证书到期前更换。Google 预计，在太平洋时间 2026 年 10 月 27 日上午，将根证书移除更新分发给依赖 Chrome Root Store 的设备。eMudhra 退出全球 TLS 业务还带来了更广泛的迁移，但两者的范围不能混为一谈。

该公司 10 月 22 日的公告记录了董事会的退出决定。10 月 26 日更新的事件声明表示，迁移正在进行，完整的根因分析将随后发布。Google 单独发布的 10 月 20 日安全公告则明确了浏览器信任变更，以及受影响网站需要采取的行动。

近期时限针对的是一条证书层级

Google 表示，八张下级 CA 证书的私钥在生成时随机性不足。它先屏蔽了受影响的中间 CA 密钥，随后移除 emSign ECC Root CA - G3 根证书，以保护使用其根证书库、但不接收同类屏蔽更新的客户端。

移除根证书还可能影响合法证书。Google 要求，证书链通向该根的运营者应获取并安装来自 Chrome Root Store 中另一受信任层级的替代 TLS 证书。10 月 27 日是预计分发时间，预发布渠道会更早获得更新，并不意味着所有客户端同时改变。

证书到期日回答的是签发有效期有多长；浏览器信任回答的是客户端是否接受这条证书链。因此，即使尚未到期，证书也可能在信任库变更后无法通过验证。

业务退出需要另一份迁移计划

eMudhra 表示，G1 RSA 根将在过渡期间继续服务客户，撤销和证书状态服务将持续到已签发证书全部到期或被替换。公司提供合作伙伴签发的免费替代证书。这些是公司的承诺，并不能证明某个客户已经完成迁移。

运营者应确认线上服务实际提供哪条证书链，以及 TLS 在哪里终止，包括托管平台或负载均衡器。向供应商确认替代证书所属层级，按照常规变更流程安装，再从实际使用的客户端验证服务。收到替代证书文件，不等于已经成功部署。

不在受影响 G3 层级内的客户，仍应因业务退出而制定续期和支持计划。但不能据此认定，所有 eMudhra 证书都会在 10 月 27 日停止工作。

事件结论应限定在证据范围内

在 10 月 26 日的更新中，eMudhra 将弱密钥归因于脚本错误，并表示调查没有发现基础设施或客户数据遭到侵害。公司称，数字签名、eSign 和企业应用运行在独立基础设施上，未受影响。

这些是在调查仍进行期间由公司给出的结论。承诺的独立审查和根因报告尚待提供证据。读者应区分保护浏览器用户、更换线上受影响证书链和确定最终原因这三件事；其中一项取得进展，不代表另外两项已经完成。

资料来源

• eMudhra：10 月 22 日退出全球 SSL/TLS 业务公告

• Google Chrome 与 Android Security：10 月 20 日公告

• eMudhra：10 月 26 日更新的事件声明