Kompromitacija eMudhra posredničke CA: blok liste preglednika i jaz u povjerenju tijekom izvođenja

Šta ovaj video pokriva

• Kompromitirani ključevi pripadaju posredničkim potpisnicima. Nepovjerenje u root može ublažiti lanac bez dokazivanja da je root privatni ključ kompromitiran.
• Hitna blok lista preglednika i pohrana CA certifikata aplikacije mogu pratiti odvojene putanje ažuriranja. Provjerite pokrenuti proces i njegovu stvarnu konfiguraciju povjerenja.
• Mozilla je neovisno potvrdila oporavljive privatne ključeve. Izvještaj ne opisuje CT unose za pogođene posrednike; stvarna zloupotreba protiv drugih klijenata ostaje nepoznata.
• Primarna izdanja verificiraju certifi 2026.10.19 i Node 24.22.1 za diskutirane grane. Prilagođeni CA paketi i druge grane vremena izvođenja trebaju vlastite provjere.
• Izvještaj Tor istraživača o 333 releja odnosi se na incident s početka oktobra objavljen 20. oktobra. Otprilike deset posto je broj releja, a ne mjerenje presretnutog prometa.
• Sam mrežni timeout ne utvrđuje da je validacija certifikata odbila kompromitirani lanac. Sačuvajte verifikaciju i razlikujte greške transporta od grešaka autentifikacije.

Prevedeni transkript

Prevedeno iz originalne engleske naracije. Dostupan zvuk i titlovi kontroliše YouTube.

Zašto fiksni preglednik može ostaviti aplikaciju izloženom?

0:00 Popravak eMudhra preglednika zvuči kao da je sve čisto. Osam kompromitiranih ključeva za potpisivanje i dalje ostavlja softver s zastarjelim odlukama o povjerenju. U ovom videu, ko može potpisivati? Zašto se klijenti ne slažu? I koje ažuriranje zapravo dolazi do vaše aplikacije? Jedna sitna ovisnost čuva vlastitu listu povjerenja. Vratit ćemo se na proces koji odlučuje je li vaša ispravka stigla. Srijeda je, dvadeset prvi oktobar, i ovo je The Daily Diff.

0:22 eMudhra je certifikaciono tijelo. Potpisuje digitalne certifikate koji pomažu softveru da autentificira web stranice i usluge. Kompromitirani ključevi uključuju šest korištenih za web veze i dva za potpisivanje softvera. Posrednik je delegirani potpisnik ispod pouzdanog korijena. U petak je reporter po imenu Wayne poslao dokaz korijenskim programima. Do utorka je javna stranica o incidentu objašnjavala čišćenje. Danas developeri otkrivaju koliko kopija povjerenja njihova savršeno normalna aplikacija je prikupila.

Šta ovlašćuje posrednički ključ?

0:49 Evo običnog lanca. Stranica predstavlja certifikat, posrednik ga potpisuje, i vaš klijent prati lanac do korijena kojem već vjeruje. Korijen je vaša lokalna početna tačka. Ko god kontroliše privatni ključ posrednika može potpisivati pod tim autoritetom. Matematički validan potpis može imati potpuno nepouzdanog potpisnika. Validatoru je potreban način da povuče povjerenje nakon kompromitacije. Wayne je potpisao poruku, Imamo problem ovdje, Wayne,

1:12 sa svakim ključem. Mozilla je provjerila kontrolu ključa, a zatim samostalno oporavila ključeve. Hitni odgovor počeo je rečenicom koja zvuči kao da je netko primijetio da uredski pisač dimi.

Šta je dokazano, a šta ostaje nepoznato?

1:22 Javni izvještaj kaže da su ključevi pogrešno generirani i oporavljivi iz certifikata, kreiranih u aprilu prošle godine. Stvarna zloupotreba protiv drugog softvera još uvijek je nepoznata. Oporavljivi autoritet za potpisivanje je dovoljno hitan i bez izmišljenog popisa žrtava. Ovdje postoji važno ograničenje. Izvještaj nije pronašao unose transparentnosti certifikata za te posrednike tijekom tog razdoblja.

1:42 Kaže da preglednici koji provode transparentnost nisu mogli biti napadnuti putem ove rute. Ta dodatna provjera preglednika pomaže objasniti zašto sam naslov preuveličava sliku. eMudhra je rekla Mozilli da je oko trideset hiljada certifikata trebalo migrirati na drugi lanac. To su radne usluge čiji vlasnici moraju zamijeniti certifikate tijekom čišćenja. Negdje je pozivnica u kalendaru upravo postala produkcijska ovisnost.

Zašto se preglednik i runtime ne slažu?

2:03 Dobavljači preglednika distribuiraju hitne blok liste. Izvještaj bilježi akcije Firefoxa i Chromea u petak, nakon čega slijede Apple i Microsoft. Ovi klijenti mogu odbiti kompromitirani posrednik dok prepoznaju njegov korijen. To pravilo putuje odvojeno od paketa vaše aplikacije. Neki klijenti provjeravaju lanac u odnosu na pouzdane korijene bez korištenja hitnih informacija o povlačenju. Autoritet može objaviti povlačenje, i taj klijent može nastaviti prihvaćati lanac.

2:27 Postavljanje znaka na vrata bolje funkcionira kada posjetitelj čita znakove. Mozilla kaže da neki Android profili nisu uspjeli primijeniti ažuriranu blok listu prilikom pokretanja. Popravak je isporučen u Firefoxu 158.02. Stoga i preglednik održavajte ažurnim. Obavijest ne može popisati vaš telefon. Održavatelji mogu ukloniti sidro povjerenja kada klijenti nemaju užu blokadu. Mozillin thread opisuje hitno nepovjerenje u emSign ECC root, generacije tri. Uklanjanje korijena iz pohrane povjerenja blokira lance koji se oslanjaju na

2:54 njega, čak i kada sam privatni ključ korijena nikada nije bio kompromitiran. Najnovije izdanje Pythonovog certifi paketa je jedno od naknadnih ažuriranja.

Koja su ažuriranja stigla do Pythona i Nodea?

3:01 Njegov commit također obnavlja nepromijenjene emSign korijene nakon ranijeg uklanjanja. Brisanje svega što nosi ime tvrtke je loša zamjena za održavani paket. Želite da opasni lanac bude odbijen, a legitimni korisnici i dalje rade. Historija izdanja čuva obje odluke. Sigurnosno čišćenje ima glamurozan posao hitnosti, preciznosti i krivnje za bilo koju uslugu koja se pokvari tijekom ručka. Node verzija 24.22.1 isporučena je danas s ažuriranim

3:26 korijenima. Provjerite savjetnik svoje grane i stvarnu CA konfiguraciju. Prilagođeni paket može promijeniti koju pohranu povjerenja proces koristi. U Toru, istraživač je jučer objavio izvještaj o tri stotine trideset i

Šta je uhvatilo upozorenje o host ključu Tora?

3:36 tri kompromitirana izlazna releja. Presretanje je počelo ranije ovog mjeseca. Releji su označeni i isključeni danima kasnije, prije nego što je izvještaj stigao. SSH je upozorio istraživača da se identitet servera promijenio. Prijavio je to Torovom timu za zdravlje mreže. Njihova obavijest operatorima potvrđuje izvještaje o presretanju. To upozorenje je radilo točno nezgodnu stvar koju autentifikacija treba da radi.

3:57 Otprilike deset posto prebrojanih releja s različitim kapacitetima, ostavljajući udio prometa neizmjerenim. Tor rutiranje i SSH identitet servera imaju odvojene poslove. Provjerite promijenjeni host ključ putem povjerljivog kanala prije nego što ga prihvatite i prijavite se. Vratite se u svoju aplikaciju, počnite s pokrenutim kontejnerom ili virtualnim okruženjem.

Kako provjeriti primijenjenu ispravku?

4:12 Pronađite CA paket koji stvarno koristi i primijenite relevantno održavano ažuriranje. Ponovno izgradite i ponovno pokrenite instalirani proces kako bi mogao učitati promijenjeni materijal povjerenja. Koristite javne testne lance održavatelja u stvarnom okruženju klijenta. Držite grešku certifikata odvojenom od mrežnog timeouta. Neuspjela veza na hotelskom Wi-Fi-ju je odličan test hotelskog Wi-Fi-ja. Malena ovisnost je zasebno pakirana pohrana povjerenja, poput certifi. Vaš desktop preglednik nikada ne uređuje tu ovisnost unutar starog kontejnera. Instalirani proces i njegova konfiguracija odlučuju je li ispravak

4:42 stigao. To je mjesto za provjeru vašeg ažuriranja. Ako ovo radije čitate nego što me slušate, 'diff' vam stiže u inbox svako jutro, besplatno na the daily diff dot dev, link ispod.

Šta dobija pečat POTREBNA PROVJERA?

4:51 Dakle, današnja presuda je POTREBNA PROVJERA. Želim da se provjeri povjerenje instaliranog klijenta prije nego što itko zatvori ovaj incident. Pretplatite se, pritisnite zvono i recite mi u komentarima da li biste ga drugačije označili. I to je 'diff' za danas. Ja sam Niko iz Axrisija. Spajajte odgovorno.

Izvori

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health