# eMudhra intermediêre CA-kompromie: blaaier-bloklyste en die runtime-vertroueverskil

Published: 2026-10-21

Ag eMudhra intermediêre ondertekeningsleutels is gekompromitteer, insluitend ses wat vir TLS gebruik is en twee vir kodeskandering. Die episode volg op Mozilla se bevestiging, blaaierblokkering en stroomaf opdaterings om te verduidelik waarom 'n ontplooide toepassing sy eie vertrouekonfigurasie moet laat kontroleer. 'n Afsonderlike Tor-verslag toon 'n SSH-gasheeridentiteitswaarskuwing wat sy werk doen.

Canonical: https://thedailydiff.dev/af/video/2026-10-21-emudhra-trust-gap/

## Wat hierdie video dek

- Die gekompromitteerde sleutels behoort aan intermediêre ondertekenaars. Wortelwantroue kan 'n ketting versag sonder om te bewys dat die wortel se private sleutel gekompromitteer is.
- 'n Blaaier se noodbloklys en 'n toepassing se gebundelde CA-winkel kan afsonderlike opdateringspaaie volg. Kontroleer die lopende proses en sy werklike vertrouekonfigurasie.
- Mozilla het onafhanklik herstelbare private sleutels bevestig. Die verslag beskryf geen CT-inskrywings vir die betrokke intermediates nie; werklike misbruik teen ander kliënte bly onbekend.
- Primêre vrystellings verifieer certifi 2026.10.19 en Node 24.22.1 vir die bespreekte takke. Aangepaste CA-bondels en ander runtime-takke benodig hul eie kontroles.
- Die Tor-navorser se 333-aflosrekening gaan oor 'n vroeër-Oktober-insident wat op 20 Oktober gepubliseer is. Ongeveer tien persent is 'n aflosgetal, nie 'n onderskepte-verkeermeting nie.
- 'n Netwerktydverstreking alleen bewys nie dat sertifikaatvalidasie 'n gekompromitteerde ketting verwerp het nie. Bewaar verifikasie en onderskei vervoerfoute van verifikasiefoute.

## Hoofstukke

- 0:00 Waarom kan 'n vaste blaaier 'n toepassing blootstel?
- 0:49 Wat magtig 'n intermediêre sleutel?
- 1:22 Wat is bewys, en wat bly onbekend?
- 2:03 Waarom stem die blaaier en die runtime nie ooreen nie?
- 2:58 Watter opdaterings het Python en Node bereik?
- 3:33 Wat het die Tor-gasheersleutelwaarskuwing gevang?
- 4:10 Hoe kontroleer jy die ontplooide oplossing?
- 4:51 Wat kry die NEEDS REVIEW-stempel?

## Vertaalde transkripsie

Vertaal uit die oorspronklike Engelse vertelling. Beskikbare klank en onderskrifte word deur YouTube beheer.

### Waarom kan 'n vaste blaaier 'n toepassing blootstel?

0:00 Die eMudhra blaaier-oplossing klink soos 'n algehele klaring. Ag gekompromitteerde ondertekeningsleutels laat sagteware steeds met verouderde vertroue-besluite. In hierdie video, wie kan teken? Waarom verskil kliënte? En watter opdatering bereik eintlik jou toepassing? Een klein afhanklikheid hou sy eie vertrouelys. Ons sal terugkom na die proses wat besluit of jou oplossing aangekom het. Dis Woensdag, een-en-twintigste Oktober, en dit is The Daily Diff.

0:22 eMudhra is 'n sertifikaatowerheid. Dit teken digitale sertifikate wat sagteware help om webwerwe te verifieer en dienste. Die gekompromitteerde sleutels sluit ses in wat vir webverbindings gebruik is en twee vir die ondertekening van sagteware. 'n Intermediêr is 'n gedelegeerde ondertekenaar onder 'n vertroude wortel. Vrydag het 'n verslaggewer genaamd Wayne bewys aan die wortelprogramme gestuur. Teen Dinsdag het die openbare insidentbladsy die skoonmaak verduidelik. Vandag kan ontwikkelaars ontdek hoeveel afskrifte van vertroue hul perfek normale toepassing versamel het.

### Wat magtig 'n intermediêre sleutel?

0:49 Hier is die gewone ketting. 'n Webwerf bied 'n sertifikaat aan, 'n intermediêr teken dit, en jou kliënt volg die ketting na 'n wortel wat hy reeds vertrou. Die wortel is jou plaaslike beginpunt. Wie ook al die private sleutel van die intermediêr beheer, kan onder daardie gesag teken. 'n Wiskundig geldige handtekening kan 'n heeltemal onbetroubare ondertekenaar hê. Die valideerder benodig 'n manier om vertroue na 'n kompromie terug te trek. Wayne het die boodskap geteken, Ons het 'n probleem hier, Wayne,

1:12 met elke sleutel. Mozilla het sleutelbeheer geverifieer, en daarna die sleutels onafhanklik herwin. Die noodreaksie het begin met 'n sin wat klink of iemand opgemerk het dat die kantoordrukker rook.

### Wat is bewys, en wat bly onbekend?

1:22 Die openbare verslag sê die sleutels is verkeerd gegenereer en herwinbaar uit die sertifikate, wat verlede jaar in April geskep is. Werklike misbruik teen ander sagteware is nog onbekend. Herstelbare ondertekeningsgesag is dringend genoeg sonder 'n uitgedinkte slagofferlys. Daar is 'n belangrike beperking hier. Die verslag het geen sertifikaat gevind nie deursigtigheidsinskrywings vir daardie intermediêre gedurende daardie tydperk.

1:42 Dit sê blaaiers wat deursigtigheid afdwing, kon nie via hierdie roete aangeval gewees het nie. Daardie ekstra blaaierkontrole help verduidelik waarom die opskrif alleen die prentjie oordryf. eMudhra het aan Mozilla gesê dat ongeveer dertigduisend sertifikate migrasie benodig na 'n ander ketting. Dit is werkende dienste wie se eienaars sertifikate moet vervang gedurende die skoonmaak. Iewers het 'n kalenderuitnodiging net 'n produksie-afhanklikheid geword.

### Waarom stem die blaaier en die runtime nie ooreen nie?

2:03 Blaaierverskaffers versprei noodbloklyste. Die verslag teken Firefox- en Chrome-aksie op Vrydag aan, gevolg deur Apple en Microsoft. Hierdie kliënte kan die gekompromitteerde intermediêr verwerp terwyl hulle sy wortel herken. Daardie reël reis afsonderlik van jou toepassing se bundel. Sommige kliënte kontroleer 'n ketting teen vertroude wortels sonder om noodsaaklike herroepingsinligting te verbruik. Die owerheid kan 'n herroeping publiseer, en daardie kliënt kan voortgaan om die ketting te aanvaar.

2:27 'n Teken aan die deur aanbring werk beter as die besoeker tekens lees. Mozilla sê sommige Android-profiele het misluk om die opgedateerde bloklys by opstart toe te pas. 'n Oplossing is verskaf in Firefox eenhonderd-agt-en-vyftig punt nul-twee. So hou ook die blaaier op datum. Die aankondiging kan nie jou foon inventariseer nie. Onderhouers kan 'n vertroue-anker verwyder wanneer kliënte 'n nouer blokkering ontbreek. Mozilla se draad beskryf noodwantroue van die emSign ECC-wortel, generasie drie. Die verwydering van 'n wortel uit 'n vertrouestoor blokkeer kettings wat daarop staatmaak,

2:54 selfs wanneer die wortel se private sleutel self nooit gekompromitteer is nie. Python se nuutste certifi-vrystelling is een stroomaf-opdatering.

### Watter opdaterings het Python en Node bereik?

3:01 Die inskrywing herstel ook onaangeraakte emSign-wortels na 'n vroeëre verwydering. Alles wat die maatskappy se naam dra, uit te vee, is 'n swak plaasvervanger vir die instandgehoude pakket. Jy wil die gevaarlike ketting verwerp hê en wettige kliënte steeds aan die werk hê. Die vrystellinggeskiedenis bewaar beide besluite. Sekuriteitskoonmaak het die glansryke taak om dringend te wees, presies, en geblameer vir watter diens ook al tydens middagete breek. Node se weergawe vier-en-twintig punt twee-en-twintig punt een is vandag verskaf met opgedateerde

3:26 wortels. Kontroleer jou eie tak se advies en werklike CA-konfigurasie. 'n Pasgemaakte bondel kan verander watter vertrouestoor die proses gebruik. In Tor het 'n navorser gister 'n verslag gepubliseer van driehonderd-drie-en-dertig

### Wat het die Tor-gasheersleutelwaarskuwing gevang?

3:36 gekompromitteerde uitgangsrelays. Die onderskepping het vroeër hierdie maand begin. Die relays is dae later gemerk en afgeskakel, voordat die verslag aangekom het. SSH het die navorser gewaarsku dat die bediener se identiteit verander het. Hy het dit aan Tor se netwerkgesondheidspan gerapporteer. Hul operateurskennisgewing bevestig verslae van onderskepping. Daardie waarskuwing het presies die ongerieflike ding gedoen wat verifikasie veronderstel is

3:57 om te doen. Ongeveer tien persent het relays getel met verskillende kapasiteite, wat die verkeersaandeel ongemeet gelaat het. Tor-roetering en SSH-bedieneridentiteit het afsonderlike take. Verifieer 'n veranderde gasheersleutel deur 'n vertroude kanaal voordat jy dit aanvaar en aanmeld. Terug in jou toepassing, begin met die lopende houer of virtuele omgewing.

### Hoe kontroleer jy die ontplooide oplossing?

4:12 Vind die CA-bondel wat dit werklik gebruik en pas die relevante instandgehoue opdatering toe. Herbou en herbegin die ontplooide proses sodat dit die veranderde vertroue materiaal kan laai. Gebruik die instandhouers se openbare toetskettinge in die kliënt se regte omgewing. Hou die sertifikaatfout apart van 'n netwerktydverstreking. 'n Mislukte verbinding op hotel Wi-Fi is 'n uitstekende toets van hotel Wi-Fi. Die klein afhanklikheid is 'n afsonderlik gebundelde vertrouestoor, soos certifi. Jou rekenaarblaaier redigeer nooit daardie afhanklikheid binne 'n ou houer nie. Die ontplooide proses en sy konfigurasie besluit of die oplossing

4:42 aangekom het. Dit is die plek om jou opdatering te verifieer. As jy dit eerder wil lees as om my dit te hoor sê, land die diff elke oggend in jou inkassie, gratis by the daily diff dot dev, skakel hieronder.

### Wat kry die NEEDS REVIEW-stempel?

4:51 So vandag se uitspraak is NEEDS REVIEW. Ek wil die ontplooide kliënt se vertroue laat kontroleer voordat iemand hierdie insident sluit. Teken in, druk die klokkie, en vertel my in die kommentaar as jy dit anders sou gestempel het. En dis die diff vir vandag. Ek is Niko van Axrisi. Voeg verantwoordelik saam.

## Bronne

- [eMudhra Intermediate CA Compromise](https://emudhra.we-have-a-problem.com/) — Dennis Jackson
- [Private key compromise of eMudhra Intermediate Certificates](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449) — Mozilla Bugzilla
- [certifi 2026.10.19 release](https://github.com/certifi/python-certifi/releases/tag/2026.10.19) — certifi
- [Restore unaffected emSign roots](https://github.com/certifi/python-certifi/commit/662df63d7906df66f1f07c0751a3dfe9da14d914) — certifi
- [Node 24.22.1 security release](https://github.com/nodejs/node/releases/tag/v24.22.1) — Node.js
- [Update root certificates to NSS 3.131.1](https://github.com/nodejs/node/pull/66877) — Node.js
- [How I got over 300 Tor exit nodes removed](https://kaba.cx/posts/20261020_Tor/) — KABA
- [Security incident affecting some relay operators](https://lists.torproject.org/mailman3/hyperkitty/list/tor-relays@lists.torproject.org/thread/WOHPLKCSHYXFTBRZXDENDKJZMBMPLMG5/) — Tor Project network health