如果您是一名软件工程师，或者一般在技术行业工作，那么您很可能听说过昨天（2026年10月20日）披露的eMudhra中间CA妥协事件。如果没有，您可能注意到您使用的各种产品的软件更新有所增加。我不会详细介绍事件的整个背景，因为有许多其他帖子，包括Mozilla现在公开的漏洞报告，描述了妥协的细节。然而，我收到了不少人关于IoT设备，特别是微控制器（MCU）类设备影响的询问。其中一些人可能受到围绕妥协的讨论的影响，例如Russ Cox在Bluesky上的帖子，其中包括以下句子：无法或不更新的IOT设备现在可以轻松被中间人攻击。Scott Helme的帖子在撰写时位于Hacker News的顶部，警告更是严厉：IoT、嵌入式和OT设备。摄像头、路由器、汽车、医疗设备、智能家电、支付终端和工业控制器通过与家中通信获取命令和更新。它们的捆绑包将被冻结到2039年，这是真正实现的“无法 contained” 的时刻。如今，IoT这个名字确实让人感到复杂。如果您将像Raspberry Pi这样的单板计算机（或者运行Linux的任何设备）视为IoT设备，那么上述的论断很可能是正确的。希望您有适用于这些设备的OTA更新解决方案，并且应该尽快更新它们。另一方面，如果您拥有一批MCU，您可能不会受到妥协的直接影响。为了了解原因，至少有必要对公钥基础设施（PKI），尤其是Web PKI有一个初步的了解。在您阅读此帖子的设备上，有一组根证书颁发机构（CA）证书。实际上，几乎可以肯定会有多个CA证书捆绑包，因为您的平台（即操作系统）会提供一个捆绑包，而您的浏览器也可能如此。Mozilla自Firefox首次发布以来维持了一个专门的CA证书项目，而Chrome在2022年宣布其根证书项目时也紧随其后。这些根证书是让您与之通信的互联网服务证明它们身份的“信任锚”。您在浏览器中通过HTTPS访问的每个网站都通过提供一个或多个可以追溯到客户端捆绑包中CA证书的证书来验证其身份。例如，当您访问此博客文章时，托管该文章的服务器向您的浏览器提供了以下证书链。证书链0 s:CN=danielmangum.com i:C=US, O=Let's Encrypt, CN=YR1 a:PKEY: RSA, 2048（位）；sigalg：sha256WithRSAEncryption v:NotBefore: 2026年8月24日08:02:52 GMT；NotAfter: 2026年11月22日08:02:51 GMT 1 s:C=US, O=Let's Encrypt, CN=YR1 i:C=US, O=ISRG, CN=Root YR a:PKEY: RSA, 2048（位）；sigalg：sha256WithRSAEncryption v:NotBefore: 2025年9月3日00:00:00 GMT；NotAfter: 2028年9月2日23:59:59 GMT 2 s:C=US, O=ISRG, CN=Root YR i:C=US, O=Internet Security Research Group, CN=ISRG Root X1 a:PKEY: RSA, 4096（位）；sigalg：sha256WithRSAEncryption v:NotBefore: 2026年5月13日00:00:00 GMT；NotAfter: 2032年9月2日23:59:59 GMT 您可以使用openssl s_client -showcerts -verify 5 -connect danielmangum.com:443来查看。第一个证书（danielmangum.com）指定它是由第二个（YR1）签名的，第二个由第三个（Root YR）签名。第三个指定其发行人为ISRG Root X1，这是每个主要信任库中都存在的非常受欢迎的Let’s Encrypt根CA证书。因为ISRG Root X1存在于您的信任库中，而服务器向您发送了必要的一组证书以建立与该受信任根的信任链，所以您可以确信您实际上是在与danielmangum.com进行通信。Let’s Encrypt提供了一个有用的图表来描述这个信任链。虽然与此站点建立安全连接可能不是至关重要的，但该系统使我们能够执行敏感操作，例如发送私人消息、管理银行账户，以及在无担忧窃取数据者的情况下用信用卡支付商品。在eMudhra妥协中，有八个中间CA证书，类似于上面的Root YR和YR1，其私钥在公共互联网可用。这些私钥恰好非常弱，P-384密钥的前376位全为零。其中一个私钥的字面含义就是数字4（00000100）。这意味着，具备中等技术能力的人可以轻松自我签发一个叶证书（如danielmangum.com），然后呈现叶证书和中间证书，这将被包含eMudhra根CA证书的所有信任库所信任。不幸的是，这包括所有主要的根证书。