Compromís de l'AC intermèdia d'eMudhra: llistes de bloqueig del navegador i la bretxa de confiança en temps d'execució

Què cobreix aquest vídeo

• Les claus compromeses pertanyen a signataris intermedis. La desconfiança de l'arrel pot mitigar una cadena sense provar que la clau privada de l'arrel va ser compromesa.
• La llista de bloqueig d'emergència d'un navegador i l'emmagatzematge de CA empaquetat d'una aplicació poden seguir rutes d'actualització separades. Comproveu el procés en execució i la seva configuració de confiança real.
• Mozilla va confirmar de manera independent les claus privades recuperables. L'informe no descriu entrades de CT per als intermedis afectats; el mal ús real contra altres clients continua sent desconegut.
• Les versions primàries verifiquen certifi 2026.10.19 i Node 24.22.1 per a les branques discutides. Els paquets de CA personalitzats i altres branques en temps d'execució necessiten les seves pròpies comprovacions.
• El compte de 333 relés de l'investigador de Tor es refereix a un incident d'principis d'octubre publicat el 20 d'octubre. Aproximadament un deu per cent és un recompte de relés, no una mesura de trànsit interceptat.
• Un temps d'espera de xarxa per si sol no estableix que la validació del certificat hagi rebutjat una cadena compromesa. Preserveu la verificació i distingiu els errors de transport dels errors d'autenticació.

Transcripció traduïda

Traduït de la narració original en anglès. L'àudio i els subtítols disponibles estan controlats per YouTube.

Per què un navegador arreglat pot deixar una aplicació exposada?

0:00 La solució del navegador d'eMudhra sona com un tot clar. Vuit claus de signatura compromeses encara deixen el programari amb decisions de confiança obsoletes. En aquest vídeo, qui pot signar? Per què els clients no estan d'acord? I quina actualització arriba realment a la teva aplicació? Una petita dependència manté la seva pròpia llista de confiança. Tornarem al procés que decideix si la teva solució ha arribat. És dimecres, 21 d'octubre, i aquest és The Daily Diff.

0:22 eMudhra és una autoritat de certificació. Signa certificats digitals que ajuden el programari a autenticar llocs web i serveis. Les claus compromeses inclouen sis utilitzades per a connexions web i dues per a la signatura de programari. Un intermediari és un signatari delegat sota una arrel de confiança. Divendres, un reporter anomenat Wayne va enviar proves als programes d'arrel. Dimarts, la pàgina pública de l'incident estava explicant la neteja. Avui, els desenvolupadors descobriran quantes còpies de confiança té la seva aplicació perfectament normal ha recollit.

Què autoritza una clau intermèdia?

0:49 Aquí teniu la cadena ordinària. Un lloc presenta un certificat, un intermediari el signa, i el vostre client segueix la cadena fins a una arrel en la qual ja confia. L'arrel és el vostre punt de partida local. Qui controli la clau privada de l'intermediari pot signar sota aquesta autoritat. Una signatura matemàticament vàlida pot tenir un signatari completament poc fiable. El validador necessita una manera de retirar la confiança després d'un compromís. Wayne va signar el missatge, Tenim un problema aquí, Wayne,

1:12 amb cada clau. Mozilla va verificar el control de la clau i després va recuperar les claus de manera independent. La resposta d'emergència va començar amb una frase que sona com si algú hagués notat que la impressora de l'oficina fumava.

Què s'ha demostrat i què segueix sent desconegut?

1:22 L'informe públic diu que les claus es van generar incorrectament i es podien recuperar dels certificats, creats l'abril de l'any passat. El mal ús real contra altres programes encara és desconegut. L'autoritat de signatura recuperable és prou urgent sense una llista de víctimes inventada. Hi ha un límit important aquí. L'informe no va trobar entrades de transparència de certificats per a aquells intermedis durant aquell període.

1:42 Diu que els navegadors que apliquen la transparència no podrien haver estat atacats per aquesta via. Aquesta comprovació addicional del navegador ajuda a explicar per què el titular només exagera la imatge. eMudhra va dir a Mozilla que uns trenta mil certificats necessitaven migració a una altra cadena. Són serveis en funcionament els propietaris dels quals han de reemplaçar els certificats durant la neteja. En algun lloc, una invitació de calendari acaba de convertir-se en una dependència de producció.

Per què el navegador i el temps d'execució no estan d'acord?

2:03 Els venedors de navegadors distribueixen llistes de bloqueig d'emergència. L'informe registra l'acció de Firefox i Chrome divendres, seguida per Apple i Microsoft. Aquests clients poden rebutjar l'intermediari compromès mentre reconeixen la seva arrel. Aquesta regla viatja separadament del paquet de la vostra aplicació. Alguns clients comproven una cadena contra arrels de confiança sense consumir informació de revocació d'emergència. L'autoritat pot publicar una revocació, i aquest client pot continuar acceptant la cadena.

2:27 Posar un cartell a la porta funciona millor quan el visitant llegeix els cartells. Mozilla diu que alguns perfils d'Android no van aplicar la llista de bloqueig actualitzada a l'inici. Una solució es va enviar a Firefox 158.02. Així que mantingueu el navegador actualitzat també. L'anunci no pot inventariar el vostre telèfon. Els mantenidors poden eliminar un ancoratge de confiança quan els clients no tenen un bloqueig més estret. El fil de Mozilla descriu la desconfiança d'emergència de l'arrel emSign ECC, generació tres. Eliminar una arrel d'una botiga de confiança bloqueja les cadenes que hi confien,

2:54 fins i tot quan la clau privada de l'arrel mateixa mai va ser compromesa. L'última versió de certifi de Python és una actualització posterior.

Quines actualitzacions van arribar a Python i Node?

3:01 La seva confirmació també restaura les arrels emSign no afectades després d'una eliminació anterior. Eliminar tot el que porta el nom de l'empresa és un pèssim substitut del paquet mantingut. Vol un rebuig de la cadena perillosa i que els clients legítims segueixin treballant. L'historial de llançaments conserva ambdues decisions. La neteja de seguretat té la feina glamurosa de ser urgent, precisa i culpada de qualsevol servei que es trenqui durant el dinar. La versió 24.22.1 de Node s'ha llançat avui amb arrels actualitzades.

3:26 Comproveu l'advertència de la vostra branca i la configuració real de la CA. Un paquet personalitzat pot canviar quina botiga de confiança utilitza el procés. A Tor, un investigador va publicar ahir un informe de tres-cents trenta-

Què va detectar l'advertència de clau d'amfitrió de Tor?

3:36 tres relés de sortida compromesos. La intercepció va començar a principis d'aquest mes. Els relés van ser marcats i tancats dies després, abans que arribés l'escrit. SSH va advertir a l'investigador que la identitat del servidor havia canviat. Ho va informar a l'equip de salut de la xarxa de Tor. El seu avís a l'operador confirma els informes d'intercepció. Aquesta advertència estava fent exactament la cosa inconvenient que se suposa que ha de fer l'autenticació.

3:57 Aproximadament un deu per cent va comptar relés amb diferents capacitats, deixant la quota de trànsit sense mesurar. L'encaminament de Tor i la identitat del servidor SSH tenen funcions separades. Verifiqueu una clau d'amfitrió canviada a través d'un canal de confiança abans d'acceptar-la i iniciar sessió. Tornant a la vostra aplicació, comenceu amb el contenidor en execució o l'entorn virtual.

Com es comprova la solució desplegada?

4:12 Trobeu el paquet de CA que realment utilitza i apliqueu l'actualització de manteniment pertinent. Reconstruïu i reinicieu el procés desplegat perquè pugui carregar el material de confiança canviat. Utilitzeu les cadenes de prova públiques dels mantenidors a l'entorn real del client. Mantingueu l'error del certificat separat d'un temps d'espera de xarxa. Una connexió fallida a la Wi-Fi de l'hotel és una excel·lent prova de la Wi-Fi de l'hotel. La petita dependència és un magatzem de confiança empaquetat per separat, com certifi. El vostre navegador d'escriptori mai edita aquesta dependència dins d'un contenidor antic. El procés desplegat i la seva configuració decideixen si la solució ha arribat.

4:42 Aquest és el lloc per verificar la vostra actualització. Si preferiu llegir això que sentir-me dir-ho, la diferència arriba a la vostra safata d'entrada cada matí, gratuïta a the daily diff dot dev, enllaç a continuació.

Què rep el segell NEEDS REVIEW?

4:51 Així que el veredicte d'avui és NEEDS REVIEW. Vull que es revisi la confiança del client desplegat abans que ningú tanqui aquest incident. Subscriviu-vos, toqueu la campana i digueu-me als comentaris si l'hauríeu estampat diferent. I aquesta és la diferència d'avui. Sóc en Niko d'Axrisi. Feu la fusió amb responsabilitat.

Fonts

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health