安全公告：eMudhra中级证书颁发机构被攻陷

执行摘要

Elo Touch Solutions 正在积极监控并处理与 eMudhra Technologies Limited（一家商业证书颁发机构）相关的行业广泛的加密漏洞。2026年10月17日，安全研究人员披露与 eMudhra 运营的八个中级 CA 证书关联的私钥因关键的加密缺陷（仅有 3 到 8 位的极弱熵）而生成，从而允许第三方立即推断出私有签名密钥。

对Elo客户的潜在影响仅限于Elo企业Android和Windows产品线。自动保护的范围是重要的理解：

• Android 14 GMS设备：通过2026年10月19日推出的紧急Google Play服务更新保护。
• Windows设备：通过2026年10月20日的微软Windows不受信任证书信任列表更新，以及针对Microsoft Edge和WebView2的自动CRLSet更新进行保护。
• Android 13及以下、仅AOSP构建和非GMS设备：未自动保护。管理员在发布并安装包含Google即将发布的补丁的正式Elo OS固件更新之前，必须按照本公告中所述的手动缓解计划进行操作。

没有其他Elo产品受到影响。Elo的企业基础设施、云服务（EloView、Elo Radar 和 Elo Remote）以及内部系统没有被攻陷。在本公告发布时，没有针对Elo客户的主动攻击报告。

一目了然的摘要

• 问题：披露了一种涉及八个eMudhra中级证书颁发机构的关键加密缺陷，可能允许攻击者伪造安全网站或伪造受信任的签名。
• 影响：影响仅限于Elo企业Android和Windows设备；所有其他Elo产品和解决方案未受影响。此漏洞严格源于eMudhra的外部密钥生成过程。Elo基础设施、云平台和内部系统完全安全且未被攻陷。
• Android的解决方案（Android 14 GMS）：通过后台Play服务和浏览器更新已静默自动提供保护。无需闪存固件或手动操作。
• Android的解决方案（其他版本）：对于Android 13及以下、AOSP和非GMS，Google将提供一个补丁更新，Elo随后将集成到OS固件更新中。在此之前，请使用下面的手动缓解计划。
• Windows的解决方案：Windows不受信任证书信任列表和CRLSet的完全自动更新将自动阻止被攻陷的密钥。

Android架构的详细影响分析

1. Android网页浏览器（Google Chrome）

Chrome管理其独立的根存储，不依赖于底层Android操作系统的信任存储。Chrome已经推送了静默的内部更新，通过其内部撤销列表（CRLSet）阻止了被攻陷的证书。此外，Chrome的本地证书透明性（CT）强制机制将立即拒绝任何伪造证书的呈现尝试，因为在撤销之前没有合法证书被记录。

2. 使用WebView的Android原生应用程序

利用WebView控制API（例如Elo WebView Controller）的应用程序需要系统级更新：

• 在Android 14 GMS设备上：Google Play服务自动将八个被攻陷的公钥哈希附加到Android的安全系统阻止列表。技术验证显示，此阻止列表在出厂重置设备连接互联网后的一秒内到达。
• 在其他Android版本/AOSP上：不通过Play服务提供系统级更新。这些设备在即将发布的Elo OS固件更新应用之前仍然处于漏洞状态。

手动缓解计划

对于在限制网络中运行的Android 13及以下、仅AOSP和非GMS设备是必需的。

网络级补偿控制

对于大型企业车队，强烈建议在您的安全Web网关或公司防火墙（例如Zscaler、Palo Alto Networks、Fortinet）中阻止展示由被攻陷的eMudhra中级密钥签名的证书的入站/出站连接。

手动证书禁用程序

1. 导航至 设置 > 安全（或 安全与隐私 > 更多安全设置）。
2. 选择 加密与凭据 > 受信任的凭据。
3. 在 系统 标签下，找到并切换以下两个根证书的 禁用（包括直接和交叉签名版本）：
   • emSign ECC Root CA - G3（列于 eMudhra Technologies Limited 下）
   • AAA证书服务（列于 Comodo CA Limited 下）

注意：禁用这些根证书可保护Android系统TLS和WebView应用程序。像Chrome这样的独立浏览器将继续依赖其自身的自动内部更新。

验证和测试端点

安全管理员可以使用以下独立测试端点验证本地设备和网络安全配置：

• 主要受影响的中级测试： https://dv-g3b-emudhra.we-have-a-problem.com/
• 一般事件参考和测试套件： https://emudhra.we-have-a-problem.com/

其他Elo产品和服务

Elo交互式触摸屏显示器、标牌、销售点系统、外围设备和后台管理工具不使用或信任受影响的eMudhra证书链，完全未受影响。Elo云服务（包括EloView、Elo Radar和Elo Remote）不使用由eMudhra颁发的证书。

参考文献与资源

• 微软对被攻陷的eMudhra证书颁发机构密钥的回应
• 谷歌安全博客：保护Chrome和Android用户免受被攻陷的eMudhra中级CA证书的影响

免责声明：更新交付时间因地区、设备型号和第三方供应商而异。一些更新可能需要操作系统运行最新的维护版本才能应用修复。本公告仅为信息目的提供，Elo Touch Solutions 对任何明示或暗示的保证不承担责任，包括适销性和特定用途的适用性。Elo保留在有更多信息时更新本公告的权利。