Компрометиране на междинен CA на eMudhra: черни списъци на браузъри и разлика в доверието по време на изпълнение

Какво обхваща този видеоклип

• Компрометираните ключове принадлежат на междинни подписващи. Отхвърлянето на корена може да смекчи веригата, без да доказва, че частният ключ на корена е бил компрометиран.
• Аварийният черен списък на браузъра и пакетираното хранилище на CA на приложението могат да следват отделни пътища за актуализация. Проверете работещия процес и неговата действителна конфигурация на доверие.
• Mozilla независимо потвърди възстановими частни ключове. Докладът не описва CT записи за засегнатите междинни звена; действителната злоупотреба срещу други клиенти остава неизвестна.
• Първичните версии проверяват certifi 2026.10.19 и Node 24.22.1 за обсъжданите клонове. Персонализираните CA пакети и други клонове по време на изпълнение се нуждаят от собствени проверки.
• Акаунтът на изследователя на Tor за 333 релета се отнася до инцидент от началото на октомври, публикуван на 20 октомври. Приблизително десет процента е брой релета, а не измерване на прихванат трафик.
• Само изтичането на времето на мрежата не доказва, че валидирането на сертификата е отхвърлило компрометирана верига. Запазете проверката и разграничете грешките при транспортиране от грешките при удостоверяване.

Преведен препис

Преведено от оригиналния английски разказ. Наличните аудио и субтитри се контролират от YouTube.

Защо фиксиран браузър може да остави приложението изложено?

0:00 Поправката за браузъра на eMudhra звучи като пълна яснота. Осем компрометирани ключа за подписване все още оставят софтуера с остарели решения за доверие. В това видео, кой може да подпише? Защо клиентите не са съгласни? И коя актуализация всъщност достига до вашето приложение? Една малка зависимост поддържа свой собствен списък на доверие. Ще се върнем към процеса, който решава дали вашата поправка е пристигнала. Сряда е, двадесет и първи октомври, и това е The Daily Diff.

0:22 eMudhra е сертифициращ орган. Той подписва цифрови сертификати, които помагат на софтуера да удостоверява уебсайтове и услуги. Компрометираните ключове включват шест, използвани за уеб връзки, и два за подписване на софтуер. Междинният е делегиран подписващ под доверен корен. В петък репортер на име Уейн изпрати доказателства на кореновите програми. До вторник страницата за публични инциденти обясняваше почистването. Днес разработчиците ще открият колко копия на доверие е събрало тяхното напълно нормално приложение.

Какво разрешава междинният ключ?

0:49 Ето обикновената верига. Сайтът представя сертификат, междинен го подписва, и вашият клиент следва веригата до корен, на който вече се доверява. Коренът е вашата локална отправна точка. Който контролира частния ключ на междинния, може да подписва под тази власт. Математически валиден подпис може да има напълно недоверен подписващ. Валидаторът се нуждае от начин за оттегляне на доверие след компрометиране. Уейн подписа съобщението, Имаме проблем тук, Уейн,

1:12 с всеки ключ. Mozilla провери контрола върху ключа, след което независимо възстанови ключовете. Спешният отговор започна с изречение, което звучи, сякаш някой е забелязал, че офисният принтер пуши.

Какво е доказано и какво остава неизвестно?

1:22 Публичният доклад казва, че ключовете са били генерирани неправилно и възстановими от сертификатите, създадени през април миналата година. Действителната злоупотреба срещу друг софтуер все още е неизвестна. Възстановимата власт за подписване е достатъчно спешна и без измислен списък с жертви. Тук има важна граница. Докладът не откри никакви записи за прозрачност на сертификата за тези междинни през този период.

1:42 Той казва, че браузърите, прилагащи прозрачност, не биха могли да бъдат атакувани по този маршрут. Тази допълнителна проверка на браузъра помага да се обясни защо само заглавието преувеличава картината. eMudhra каза на Mozilla, че около тридесет хиляди сертификата се нуждаят от миграция към друга верига. Това са работещи услуги, чиито собственици трябва да заменят сертификатите по време на почистването. Някъде покана в календара току-що се превърна в производствена зависимост.

Защо браузърът и средата за изпълнение не са съгласни?

2:03 Доставчиците на браузъри разпространяват спешни черни списъци. Докладът отбелязва действията на Firefox и Chrome в петък, последвани от Apple и Microsoft. Тези клиенти могат да отхвърлят компрометирания междинен, докато признават неговия корен. Това правило се предава отделно от пакета на вашето приложение. Някои клиенти проверяват веригата спрямо доверени корени, без да консумират спешна информация за отмяна. Органът може да публикува отмяна, и този клиент може да продължи да приема веригата.

2:27 Поставянето на табела на вратата работи по-добре, когато посетителят чете табелите. Mozilla казва, че някои профили на Android не са успели да приложат актуализирания черен списък при стартиране. Поправка е изпратена във Firefox 158.02. Така че поддържайте браузъра актуален също. Съобщението не може да инвентаризира вашия телефон. Поддържащите могат да премахнат доверен котва, когато клиентите нямат по-тясно блокиране. Темата на Mozilla описва спешното недоверие към корена emSign ECC, поколение три. Премахването на корен от хранилището за доверие блокира вериги, разчитащи на

2:54 него, дори когато частният ключ на самия корен никога не е бил компрометиран. Последната версия на certifi на Python е една от последващите актуализации.

Кои актуализации достигнаха Python и Node?

3:01 Неговото потвърждение също така възстановява незасегнати корени на emSign след по-ранно премахване. Изтриването на всичко, носещо името на компанията, е лош заместител на поддържания пакет. Искате опасната верига да бъде отхвърлена, а легитимните клиенти да продължат да работят. Историята на версиите запазва и двете решения. Почистването на сигурността има бляскавата задача да бъде спешно, прецизно и обвинявано за всяка услуга, която се счупи по време на обяд. Версията на Node 24.22.1 беше пусната днес с актуализирани

3:26 корени. Проверете съвета за вашия клон и действителната конфигурация на CA. Персонализиран пакет може да промени кое хранилище за доверие използва процесът. В Tor изследовател публикува вчера доклад за триста тридесет и

Какво улови предупреждението за хост ключ на Tor?

3:36 три компрометирани изходни релета. Прихващането започна по-рано този месец. Релетата бяха маркирани и изключени дни по-късно, преди да пристигне писменият доклад. SSH предупреди изследователя, че самоличността на сървъра е променена. Той докладва това на екипа за мрежово здраве на Tor. Техният операторски бележка потвърждава докладите за прихващане. Това предупреждение вършеше точно неудобното нещо, което удостоверяването трябва да

3:57 върши. Приблизително десет процента брояха релета с различни капацитети, оставяйки дела на трафика неизмерен. Маршрутизирането на Tor и самоличността на SSH сървъра имат отделни задачи. Проверете променен хост ключ през доверен канал, преди да го приемете и да влезете. Върнете се във вашето приложение, започнете с работещия контейнер или виртуална среда.

Как да проверите внедрената поправка?

4:12 Намерете пакета CA, който всъщност използва, и приложете съответната поддържана актуализация. Прекомпилирайте и рестартирайте внедрения процес, така че да може да зареди променения доверен материал. Използвайте публичните тестови вериги на поддържащите в реалната среда на клиента. Дръжте грешката в сертификата отделно от изтичането на времето на мрежата. Неуспешна връзка по Wi-Fi в хотел е отличен тест за Wi-Fi в хотел. Малката зависимост е отделно пакетирано хранилище за доверие, като certifi. Вашият настолен браузър никога не редактира тази зависимост в стар контейнер. Внедреният процес и неговата конфигурация решават дали поправката

4:42 е пристигнала. Това е мястото за проверка на вашата актуализация. Ако предпочитате да прочетете това, вместо да ме чуете да го казвам, diff-ът пристига във входящата ви поща всяка сутрин, безплатно на the daily diff dot dev, линк по-долу.

Какво получава печата NEEDS REVIEW?

4:51 Така че днешната присъда е NEEDS REVIEW. Искам доверието на внедрения клиент да бъде проверено, преди някой да затвори този инцидент. Абонирайте се, натиснете камбанката и ми кажете в коментарите, ако щяхте да го маркирате по различен начин. И това е diff-ът за днес. Аз съм Нико от Axrisi. Обединявайте отговорно.

Източници

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health