审计报告披露 eMudhra 多项 CRL 签名无效等证书安全问题

kingslyj · x · 2026-10-24

安全研究者 kingslyj 指出，在印度证书机构 eMudhra（emSign PKI）的审计报告中发现了 CRL（证书吊销列表）相关问题，并公开了报告截图。

报告列出的公开 Bugzilla 问题包括：签发 CA 证书在 CCADB 中发布延迟、未在 24 小时内响应问题报告、无效的 CRL 签名、TLS 证书吊销延迟、CRL URL 不匹配、OCSP 响应器对部分预证书返回 "Unauthorized" 等，多数标记为已修复，但仍有几项（双用途根证书过渡计划、ACME 签发流程中 SAN 包含 www 子域、Subject 地区字段无效值等）处于未解决状态。作者质疑这些问题是无能还是可能被利用。