Chrome 移除 emSign 根证书：谷歌称 10 月 27 日到达全部设备

发生了什么

事件起点是 10 月中旬的弱密钥发现：研究人员报告，印度证书机构 eMudhra 的 8 个中级证书机构私钥因随机性不足、强度过弱而可被破解。Chrome 与 Firefox 10 月 17 日封锁相关中级证书，Mozilla 10 月 20 日把该根从信任库移除；谷歌随后宣布更进一步的动作：把签发这 8 个中级证书的根 emSign ECC Root CA - G3 从 Chrome 根证书库移除，谷歌称此举面向不消费 CRLSet 更新的 Chrome 根证书库使用者，而 10 月 17 日的封锁已在 Chrome 一侧提供保护。

影响面数字来自谷歌的统计：10 月 21 日，该根下约有 30,800 张未过期预证书，其中 99.9% 由 InCommon 中级证书机构 OVG3C 或 DVG3C 签发；谷歌称，证书透明度日志中没有出现链向受影响中级证书的证书，eMudhra 称未发现弱密钥在披露前被利用的证据。eMudhra 10 月 22 日宣布退出全球 SSL/TLS 证书业务，G1 根证书在过渡期内继续服务，并向客户提供 Sectigo 签发的替代证书，吊销与证书状态服务将运行到全部已签发证书过期或被替换。

残留风险在浏览器之外：自带证书库的运行时、语言工具链与容器镜像更新节奏与浏览器不同步。Node.js 10 月 21 日的安全发布覆盖该事件，certifi 2026.10.19 不再包含该根，pip 26.2.2 随附该版本 certifi，uv 0.13.4 与 0.13.5 也移除了该根；一项 10 月 24 日的扫描称，30 个常用容器镜像中仍有 10 个信任该根，其中两个在 NSS 修复三天后构建。谷歌在公告中称，链向该根的部分合法证书将因移除而在 Chrome 中停止生效。

关键事实

1. 移除对象：emSign ECC Root CA - G3，签发 8 个弱密钥中级证书机构的根证书；谷歌称移除预计于太平洋时间 10 月 27 日上午到达全部依赖 Chrome 根证书库的设备。
2. 事件链：10 月 17 日 Chrome 与 Firefox 封锁相关中级证书；10 月 20 日 Mozilla 把该根从信任库移除；10 月 27 日为 Chrome 根证书库移除的到达日。
3. 影响规模：谷歌统计 10 月 21 日该根下约 30,800 张未过期预证书，99.9% 由 InCommon 中级证书机构 OVG3C 或 DVG3C 签发。
4. 利用证据：谷歌称证书透明度日志中没有出现链向受影响中级证书的证书；eMudhra 称未发现弱密钥在披露前被利用的证据。
5. 厂商退出：eMudhra 10 月 22 日宣布退出全球 SSL/TLS 证书业务，G1 根证书在过渡期内继续服务，提供 Sectigo 签发的替代证书。
6. 浏览器外更新：Node.js 10 月 21 日安全发布、certifi 2026.10.19、pip 26.2.2、uv 0.13.4 与 0.13.5 已移除该根；10 月 24 日一项扫描称 30 个常用容器镜像中仍有 10 个信任该根。