eMudhra aralıq CA güzəşti: brauzer bloklistləri və işləmə müddəti etibar boşluğu

Bu videoda nələr əhatə olunur

• Pozulmuş açarlar aralıq imzalayanlara aiddir. Kök etibarsızlığı, kök özəl açarının pozulduğunu sübut etmədən bir zənciri yüngülləşdirə bilər.
• Bir brauzerin təcili blok siyahısı və bir tətbiqin birləşdirilmiş CA mağazası ayrı yeniləmə yollarını izləyə bilər. İşləyən prosesi və onun faktiki etibar konfiqurasiyasını yoxlayın.
• Mozilla müstəqil olaraq bərpa edilə bilən özəl açarları təsdiqlədi. Hesabatda təsirlənmiş aralıqlar üçün heç bir CT girişi təsvir edilmir; digər müştərilərə qarşı faktiki sui-istifadə naməlum qalır.
• Əsas buraxılışlar müzakirə edilən filiallar üçün certifi 2026.10.19 və Node 24.22.1-i təsdiqləyir. Xüsusi CA paketləri və digər işləmə filialları öz yoxlamalarına ehtiyac duyur.
• Tor tədqiqatçısının 333-relay hesabatı oktyabrın əvvəlində baş verən və oktyabrın 20-də dərc olunan bir hadisə ilə bağlıdır. Təxminən on faiz, müdaxilə edilmiş trafik ölçüsü deyil, relay sayıdır.
• Yalnız bir şəbəkə vaxtaşırı sertifikat doğrulaması pozulmuş bir zənciri rədd etdiyini sübut etmir. Doğrulamayı qoruyun və nəqliyyat səhvlərini identifikasiya uğursuzluqlarından ayırın.

Tərcümə olunmuş transkript

Orijinal ingilis dilindəki nəqldən tərcümə edilmişdir. Mövcud audio və subtitrlər YouTube tərəfindən idarə olunur.

Niyə sabit bir brauzer tətbiqi açıq qoya bilər?

0:00 eMudhra brauzer düzəlişi hər şeyin qaydasında olduğunu göstərir. Səkkiz pozulmuş imzalama açarı proqramı köhnə etibar qərarları ilə buraxır. Bu videoda kim imzalaya bilər? Niyə müştərilər razılaşmır? Və hansı yeniləmə əslində tətbiqinizə çatır? Bir kiçik asılılıq öz etibar siyahısını saxlayır. Düzəlişinizin gəlib-gəlmədiyini qərar verən prosesə qayıdacağıq. Bu çərşənbə, oktyabrın iyirmi biri və bu The Daily Diff-dir.

0:22 eMudhra sertifikat orqanıdır. O, proqramın veb saytlarını autentifikasiya etməsinə kömək edən rəqəmsal sertifikatları imzalayır və xidmətlər. Pozulmuş açarlar arasında veb bağlantıları üçün istifadə olunan altı və proqramı imzalamaq üçün iki açar var. Aralıq, etibarlı bir kök altında nümayəndə imzalayandır. Cümə günü Wayne adlı bir müxbir kök proqramlarına sübut göndərdi. Çərşənbə axşamına qədər ictimai hadisə səhifəsi təmizlənməni izah edirdi. Bu gün tərtibatçılar öz mükəmməl normal tətbiqinin nə qədər etibar nüsxəsi topladığını kəşf edirlər.

Aralıq açar nəyi təsdiqləyir?

0:49 Budur adi zəncir. Bir sayt sertifikat təqdim edir, bir aralıq onu imzalayır, və müştəriniz artıq etibar etdiyi bir kökə qədər zənciri izləyir. Kök sizin yerli başlanğıc nöqtənizdir. Aralığın özəl açarına nəzarət edən hər kəs həmin səlahiyyət altında imzalaya bilər. Riyazi cəhətdən etibarlı bir imzanın tamamilə etibarsız bir imzalayanı ola bilər. Doğrulayıcının bir pozulmadan sonra etibarı geri götürmək üçün bir yolu olmalıdır. Wayne mesajı imzaladı, Burda bir problemimiz var, Wayne,

1:12 hər açarla. Mozilla açar nəzarətini təsdiqlədi, sonra müstəqil olaraq açarları bərpa etdi. Təcili reaksiya kimsənin ofis printerinin tüstüləndiyini gördüyü kimi səslənən bir cümlə ilə başladı. ofis printerinin tüstüləndiyini gördüyü kimi səslənən bir cümlə ilə başladı.

Nə sübut olundu və nə naməlum qaldı?

1:22 İctimai hesabatda açarların səhv yaradıldığı və keçən ilin aprelində yaradılmış sertifikatlardan bərpa edilə bilən olduğu deyilir. Digər proqramlara qarşı faktiki sui-istifadə hələ naməlumdur. Bərpa edilə bilən imzalama səlahiyyəti, uydurulmuş qurban siyahısı olmadan da kifayət qədər təcilidir. Burada vacib bir məhdudiyyət var. Hesabat həmin dövrdə həmin aralıqlar üçün heç bir sertifikat şəffaflıq girişi tapmadı.

1:42 Deyir ki, şəffaflığı tətbiq edən brauzerlər bu yolla hücuma məruz qala bilməzdilər. Bu əlavə brauzer yoxlaması, başlıqdakı məlumatın niyə həqiqi mənzərəni həddindən artıq qiymətləndirdiyini izah etməyə kömək edir. eMudhra Mozilla-ya təxminən otuz min sertifikatın başqa bir zəncirə köçürülməli olduğunu bildirdi. Bunlar təmizlənmə zamanı sertifikatları dəyişdirməli olan işləyən xidmətlərdir. Haradasa, bir təqvim dəvəti yenicə bir istehsal asılılığına çevrildi.

Niyə brauzer və işləmə mühiti razılaşmır?

2:03 Brauzer satıcıları təcili blok siyahılarını yayırlar. Hesabatda cümə günü Firefox və Chrome-un hərəkəti, ardınca Apple və Microsoft-un hərəkəti qeyd olunur. Bu müştərilər kompromisləşmiş aralığı rədd edərkən onun kökünü tanıya bilərlər. Bu qayda tətbiqinizin paketindən ayrı şəkildə ötürülür. Bəzi müştərilər zənciri etibarlı köklərə qarşı yoxlayarkən təcili ləğv məlumatını istifadə etmirlər. Səlahiyyətli orqan ləğvi dərc edə bilər, və həmin müştəri zənciri qəbul etməyə davam edə bilər.

2:27 Qapıya işarə qoymaq, ziyarətçi işarələri oxuyanda daha yaxşı işləyir. Mozilla deyir ki, bəzi Android profilləri işə salınarkən yenilənmiş blok siyahısını tətbiq edə bilmədi. Bir düzəliş Firefox yüz əlli səkkiz nöqtə sıfır iki-də göndərildi. Buna görə brauzeri də güncel saxlayın. Elan telefonunuzu inventarlaşdıra bilməz. Müxtəlifliklər, müştərilərin daha dar bloklamaya malik olmadığı hallarda bir etibar lövbərini silə bilər. Mozilla-nın mövzusu emSign ECC kökünün, üçüncü nəslin təcili etibarsızlığını təsvir edir. Bir kökün etibar mağazasından silinməsi, hətta kökün özəl açarı heç vaxt kompromisləşməmiş olsa belə,

2:54 ona etibar edən zəncirləri bloklayır. Python-un ən son certifi buraxılışı bir alt axın yeniləməsidir.

Hansı yeniləmələr Python və Node-a çatdı?

3:01 Onun commit-i əvvəlki silinmədən sonra təsirlənməmiş emSign köklərini də bərpa edir. Şirkətin adını daşıyan hər şeyi silmək, saxlanılan paketin pis bir əvəzidir. Təhlükəli zəncirin rədd edilməsini və qanuni müştərilərin hələ də işləməsini istəyirsiniz. Buraxılış tarixi hər iki qərarı qoruyur. Təhlükəsizlik təmizləməsinin təcili, dəqiq olmağın və nahar zamanı hansı xidmətin pozulduğuna görə günahlandırılmağın cəlbedici işi var. dəqiq olmağın və nahar zamanı hansı xidmətin pozulduğuna görə günahlandırılmağın cəlbedici işi var. Node-un iyirmi dörd nöqtə iyirmi iki nöqtə bir versiyası bu gün yenilənmiş

3:26 köklərlə göndərildi. Öz filialınızın məsləhətini və faktiki CA konfiqurasiyasını yoxlayın. Xüsusi bir paket, prosesin hansı etibar mağazasını istifadə etdiyini dəyişə bilər. Tor-da, bir tədqiqatçı dünən üç yüz otuz

Tor host-açar xəbərdarlığı nəyi tutdu?

3:36 üç kompromisləşmiş çıxış relayının hesabatını dərc etdi. Müdaxilə bu ayın əvvəlində başladı. Relaylar qeyd edildi və bir neçə gün sonra, hesabat gəlmədən əvvəl bağlandı. SSH tədqiqatçıya serverin identifikasiyasının dəyişdiyini xəbərdar etdi. O, bunu Tor-un şəbəkə sağlamlığı komandasına bildirdi. Onların operator bildirişi müdaxilə barədə məlumatları təsdiqləyir. Bu xəbərdarlıq tam olaraq autentifikasiyanın etməli olduğu narahat şeyi

3:57 edirdi. Təxminən on faiz fərqli tutumlu relayları saydı, trafik payını ölçülməmiş qoydu. Tor marşrutu və SSH server identifikasiyasının ayrı işləri var. Dəyişdirilmiş host açarını etibarlı bir kanal vasitəsilə qəbul etməzdən və daxil olmazdan əvvəl yoxlayın. Tətbiqinizə qayıdın, işləyən konteynerdən və ya virtual mühitdən başlayın.

Yerləşdirilmiş düzəlişi necə yoxlayırsınız?

4:12 Həqiqətən istifadə etdiyi CA paketini tapın və müvafiq saxlanılan yeniləməni tətbiq edin. Yerləşdirilmiş prosesi yenidən qurun və yenidən başladın ki, dəyişdirilmiş etibar materialını yükləyə bilsin. Müştərinin real mühitində baxımçıların ictimai test zəncirlərindən istifadə edin. Sertifikat səhvini şəbəkə vaxtaşırı səhvindən ayırın. Otel Wi-Fi-ında uğursuz bir bağlantı, otel Wi-Fi-ının əla bir sınağıdır. Kiçik asılılıq, certifi kimi ayrıca birləşdirilmiş bir etibar mağazasıdır. Masaüstü brauzeriniz heç vaxt köhnə bir konteynerin içərisində o asılılığı redaktə etmir. Yerləşdirilmiş proses və onun konfiqurasiyası düzəlişin gəlib-gəlmədiyini qərar verir.

4:42 Yeniləmənizi yoxlamaq üçün yer budur. Bunu mən danışmaqdansa oxumaq istəyirsinizsə, fərq hər səhər e-poçtunuza gəlir, daily diff dot dev saytında pulsuz, link aşağıdadır.

NEEDS REVIEW möhürünü nə alır?

4:51 Beləliklə, bugünkü qərar NEEDS REVIEW-dir. Bu hadisəni kimsə bağlamadan əvvəl yerləşdirilmiş müştərinin etibarının yoxlanılmasını istəyirəm. Abunə olun, zəngi basın və şərhlərdə mənə deyin ki, siz onu fərqli möhürləyərdinizmi. fərqli möhürləyərdinizmi. Və bugünkü fərq budur. Mən Axrisi-dən Nikon. Məsuliyyətlə birləşdirin.

Mənbələr

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health