在新闻聚合站点 Hacker News 上，有一条被标记为 dupe 的帖子，标题为“eMudhra to Exit Global SSL/TLS Certificate Business;”，由用户 parimm 在 2 小时前提交，目前已获得 104 分，并已有 43 条评论。这条帖子的正文指出，一份相关新闻稿的完整标题为“eMudhra to Exit global SSL/TLS Certificate Business; Will Sharpen Focus on Core Enterprise Solutions and trust services other than SSL/TLS”，其发布页面位于孟买证券交易所（BSE）网站，链接地址为 https://www.bseindia.com。

eMudhra 将退出全球 SSL/TLS 证书业务，转而更加聚焦于核心企业解决方案以及 SSL/TLS 之外的信任服务。这一消息出自一份新闻稿，标题为《eMudhra to Exit global SSL/TLS Certificate Business; Will Sharpen Focus on Core Enterprise Solutions and trust services other than SSL/TLS》，随稿附有的孟买证券交易所（BSE）PDF 文件链接为 https://www.bseindia.com/xml-data/corpfiling/AttachLive/82503e00-335c-49dc-b022-f4633a08b642.pdf 。

ieie3366 补充了相关背景：Chrome 团队曾公开向 eMudhra 提交了一连串“极其残酷”的问题，链接为 https://bugzilla.mozilla.org/show_bug.cgi?id=2083449#c30 。

hmokiguess 问为什么残酷，觉得这些问题读起来非常合理，不针对个人，也不涉及情绪或感受，全都关于实体及其义务。cromka 则认为，这些问题残酷地暴露了这家公司彻底的无能。chrisjj 简短评价为“合理但残酷”。

altbdoor 指出，其中还有一份正式新闻稿，链接是 https://emudhra.com/en/press-release/emudhra-to-exit-global-ssl-tls-certificate-business 。

solatic 引用了新闻稿里“将聚焦于……SSL/TLS 之外的信任服务”的说法，并质疑：到了这个地步，eMudhra 还有什么声誉值得挽救吗？谁还会信任他们？ygouzerh 猜测，他们可能很快就会改名。

NordStreamYacht 认为没那么容易：eMudhra 是一家上市公司，监管规定相当严格。giantrobot 举例说，Facebo……也就是 Meta，当初就是为了和剑桥分析（Cambridge Analytica）等丑闻拉开距离才改名的。mixdup 提醒，eMudhra 是一家印度公司，也许印度和美国的监管不一样。geodel 则表示，只要他们赞美正确的领导人，改名会更容易；但他认为更重要的是，他们根本不需要改名——在印度那些要紧的人看来，这不过是一件被反印度势力拿来抱怨的随机事件。

esafak 认为，证书的客户是能看穿这类操作的技术人员，所以随他们每天改名也无所谓。crote 反驳说，商业证书的客户其实是中层管理者：他们相信花几千美元去买本来可以免费得到的东西意味着质量更高，或者在这个案例里会更“安全”。因此改名绝对有效，尤其是把不受信任的根证书包装成“通过 ISO 认证的私有专用云端 PKI-as-a-Service”来营销的时候。至于技术人员，只会装个 certbot，用默认的 Let's Encrypt 配置。

gumby 觉得，他们银行里大概还有现金，想投到可能赚钱的事情上，这是一次极端的转型。ahartmetz 设想，如果他们还想继续赚钱，可以退出业务、等一阵子、换个公司名再重新进入；所谓“换公司名”也可以指另起一家真正的新公司，但用同一批人、办公室、人脉（好吧，人脉这点有点小问题）等等。

jesuswasjew 指责 CA Forum、Apple、Google 和 Mozilla，认为他们不该把许可发给一家远在天边、没有安全背景的野鸡公司。traceroute66 回应说，确实该严肃追问：a) 任何 CA 的初始审批流程；b) 任何 CA 的持续监督流程。这家 CA 位于印度其实无关紧要；如果完全诚实的话，根本问题在于整体的审批与监督流程，意味着这种事在任何地方都可能发生，只是这次发生在了印度。其次，针对“远在天边的公司”的说法，印度在某些技术事项上（比如卫星电话的使用）确实有相当严格的管控，而且外国公司一般很难（读作：几乎不可能）到印度开展业务。因此，并非所有人都能或愿意使用 Let's Encrypt，印度可能确实需要一家本土 CA。

xbar 说，CA 审批一直很糟糕。2000 到 2015 年间，他所在机构只允许 Google、Microsoft 和 Mozilla 批准的 CA 中的一个较小子集，因为事故和作恶者太多。尤其是 Microsoft，在 CA 审批流程上反倒有着很强的透明度，而且流程合理，这挺奇怪的。cromka 针对“远在天边的公司”反问：是离那个“默认国家”远吗？

j16sdiz 指出，和大多数治理机构一样，他们检查的是独立审计报告，而不是实际运营。他还贴了一个新冠封锁期间实际状况的样本：https://bugzilla.mozilla.org/show_bug.cgi?id=1728790 。

geodel 说，不是要散布阴谋论，但这家公司可能在意识形态上（如果不是物质上）与印度现政权保持一致；只要得到适当的授意，没有任何能力也能拿下各种商业合同。

zerozerotwo 提醒说，Mozilla 曾被警告不要把中国政府加入为 CA，Mozilla 以缺乏证据为由顶了回去，直到 CNNIC 被撞见（还是意外）为 Google 域名签发证书，才将其移除。DetroitThrow 表示同意，说不清楚这家公司究竟是如何获得信任的；这对整个安全互联网来说太糟糕了，而且他们在整个过程中提出的许多基本问题仍未回答。

notSavonarola 说，他对这件事有四点（4）看法。FinnKuhn 解释评论里所有“4”的梗：eMudhra 有一把私钥就是“4”，其他私钥也是 2 到 3 位数；看起来他们生成私钥的方式就像 https://xkcd.com/221/ 里那样。

zulux 开玩笑说：我的新密码是“eMahidra4444”，现在我有四因素认证了。sterlind 接话说，不，这仍然是双因素，因为 2 是 4 的因数！davsti4 问：可是……4 不是很 cosmic 吗？并附上 Google 搜索链接：https://www.google.com/search?q=4+is+cosmic 。

sambull 认为，这打开了更大的疑问：谁、以及如何获得这些能力。在最近一次冷钱包物理供应链被接管之后，什么样的家伙能拿到他们需要的任何证书？paxy 说，eMudhra 主要被印度政府使用，所以不难推断他们是怎么进白名单的。

TheCondor 贴了个 YouTube 短视频链接 https://www.youtube.com/shorts/ZTqEHehcETo ，并说：“哦，你是说像 PIN 号那样吗？”xbar 评论说，十年前做这个商业决定会很聪明，谢谢留下的烂摊子。vlfig 说，这里面一定有刑事问题。geodel 回应：也许吧，但不是在这家公司所在、且与政府做生意的地方。AdvitXSingh 嘲讽道：是啊，当然，因为自己无能就怪社交媒体，漂亮。mrlonglong 回了句“哦，天哪，算了”。

malfist 说，他还在等看 eMudhra 的复盘报告，看他们那份（划掉 5）4 个 Why。seatac76 批评说，这家公司很糟糕，声明闪烁其词，看起来很容易被颠覆，当地监管机构肯定应该调查他们。adithyareddy 确认：是的，他们正在被印度电子和信息技术部（Ministry of Electronics and Information Technology，MeitY）调查，并给出 Deccan Herald 的报道链接：https://www.deccanherald.com/india/meity-forms-team-to-probe-emudhra-security-incident-says-impact-on-indian-websites-limited-4190574 。

ChrisArchitect 补充了更多讨论的链接：https://news.ycombinator.com/item?id=50195110 。gamegod 调侃说，这份新闻稿是由数字 4 呈献的。49369201837 接了一句：那是 Numberwang！

jerf 则用一句“你不能开除我，是我辞职的！”来为这场讨论收尾。

本页未呈现可归纳的观点分歧，唯一留言只是将读者引向另一条 Hacker News 讨论，并未在本地展开论点。因此，就现有材料无法判断社区形成了哪些多数或少数立场。

认为更多讨论发生在另一条 Hacker News 帖子

• 留言未在本页给出论据，只是跳转到另一条 Hacker News 讨论，说明交流并不在当前页面发生。（认可度：少数人） > 更多讨论见另一条 Hacker News 帖子（@ChrisArchitect）