一家证书颁发机构（CA）决定放弃全球SSL/TLS市场的举动，正在暴露许多组织很少审视的一个弱点：它们对复杂PKI信任链的依赖。

在旗下8个中间证书颁发机构的私钥遭到泄露之后，eMudhra正在退出全球SSL/TLS证书业务，并向客户提供由Sectigo签发的替代证书。但分析人士警告，企业可能会发现，自己对支撑关键服务的证书层级只有非常有限的可见度。

eMudhra在一份新闻稿中表示，公司董事会决定"自愿退出全球SSL/TLS证书业务"，并补充说数据主权与合规要求提高了这项业务的复杂度和成本。

"围绕这起事件在社交媒体上的放大程度，所带来的审视与我们SSL/TLS业务在整体业务中的分量并不相称。"eMudhra董事长V·斯里尼瓦桑（V Srinivasan）在公告中说。

该公司表示将联系受影响客户免费更换证书，并会持续运行吊销与证书状态服务，直到所有已签发的证书过期或被替换。

G1根是桥，不是终点

在客户更新说明中，eMudhra表示正在向所有客户提供由Sectigo签发的证书。

"我们的G1根证书仍然有效，并继续获得完整支持。"公司在更新中说。10月22日的公告称，G1 RSA根"将在这次过渡完成之前继续为客户服务"。

eMudhra称将通过合作伙伴免费提供替换证书，并持续运营吊销与证书状态服务，直到其签发的所有证书过期或被替换。CertiNext的用户可以通过自己的账户申请Sectigo证书，其他客户则可以联系eMudhra支持团队，公告补充道。

Gartner首席分析师尼亚蒂·达夫塔里（Niyati Daftary）表示，组织应当把G1根"视为一种可能的桥梁，而不是自动把它当成最终目的地"。

"随着该公司退出全球SSL/TLS业务，而它剩余的根证书仍要接受浏览器的审视，审慎的做法是在时间允许的情况下，把关键服务迁移到一个独立且完全受信的CA上。"达夫塔里说。

她建议，如果为了防住眼前的服务中断而继续使用G1，应当设定一个明确的截止日期，并把后续迁移计划记录下来。

她还建议把签发机构、中间证书与根证书、交叉签名安排、吊销基础设施以及浏览器信任状态，一并纳入第三方风险评估。

Security Brigade联合创始人兼CTO亚什·卡达基亚（Yash Kadakia）表示，迁移到由同一家公司运营的另一个根，未必能消除人们对信任与治理的担忧。

"组织最不希望的就是迁移两次。"卡达基亚说。

Sectigo未立即回应置评请求。

浏览器之外，还有一堆信任库

IDC研究总监萨克希·格罗弗（Sakshi Grover）表示，更换一个网站的证书，未必能解决企业环境里的所有依赖。她说，残余暴露存在于那些维护自有信任库、且更新节奏与浏览器不同的系统中，包括Java keystore、语言运行时、容器镜像、双向TLS配置、代理、负载均衡器、VPN与安全设备，以及嵌入式设备。

"对许多组织来说，更难的发现是他们根本答不上这些问题。"格罗弗在谈到浏览器和操作系统之外究竟在哪里做出证书信任决策时说。

格罗弗指出，谷歌报告称，在受影响的中间证书被阻止之前，证书透明度（CT）日志中并未发现链接到它们的证书。她说，这对那些强制执行证书透明度的客户端来说是令人安心的，但一些非浏览器应用和设备并不这么做。她还说，要实施利用，攻击者还需要处在能够拦截流量的位置，因此剩余风险有限且具有针对性，而非大范围存在。

Java厂商Azul在一份声明中表示，Java默认不检查证书吊销。因此，一个未打补丁的Java开发工具包（JDK）可能继续接受一张用已泄露的中间密钥签发的伪造证书，只要相关证书链仍被信任。

Azul表示已发布更新版的Azul Zulu Builds of OpenJDK与Azul Prime，这些更新把8张受影响的证书加入JDK的阻止证书列表。

格罗弗建议安全团队先找出浏览器和操作系统之外做信任决策的位置，优先处理那些接受外部方连接的系统以及双向TLS端点。她说，团队接下来应当确定哪些系统可以更新为不信任某个特定的中间证书或公钥。

10月27日：Chrome的最后期限

Mozilla已将签发这8个被泄露中间证书的根证书emSign ECC Root CA – G3从其信任库中移除。谷歌在一篇博客文章中表示，该根从Chrome根存储中移除，预计将在太平洋时间10月27日上午覆盖所有设备。

"为避免服务中断，持有链接到emSign ECC Root CA – G3的证书的网站运营方，必须立即获取并安装新的TLS证书。"谷歌在文章中说。

达夫塔里表示，企业往往知道自己的证书经销商，却不知道支撑其信任的CA层级。

"这就制造出一种未被识别的第四方风险，可能同时影响数千项服务。"她说。她还说，CISO应当把签发CA、根证书、交叉签名安排和吊销基础设施纳入第三方网络风险评估。

"你可以把服务外包出去，但责任外包不了。"卡达基亚说。