# Παραβίαση ενδιάμεσης CA της eMudhra: λίστες αποκλεισμού προγραμμάτων περιήγησης και το κενό αξιοπιστίας κατά την εκτέλεση

Published: 2026-10-21

Οκτώ ενδιάμεσα κλειδιά υπογραφής της eMudhra παραβιάστηκαν, συμπεριλαμβανομένων έξι που χρησιμοποιούνται για TLS και δύο για υπογραφή κώδικα. Το επεισόδιο ακολουθεί την επιβεβαίωση της Mozilla, τον αποκλεισμό από προγράμματα περιήγησης και τις μεταγενέστερες ενημερώσεις για να εξηγήσει γιατί μια εφαρμογή σε λειτουργία χρειάζεται να ελέγξει τη δική της διαμόρφωση αξιοπιστίας. Μια ξεχωριστή αναφορά του Tor δείχνει μια προειδοποίηση ταυτότητας κεντρικού υπολογιστή SSH να κάνει τη δουλειά της.

Canonical: https://thedailydiff.dev/el/video/2026-10-21-emudhra-trust-gap/

## Τι καλύπτει αυτό το βίντεο

- Τα παραβιασμένα κλειδιά ανήκουν σε ενδιάμεσους υπογράφοντες. Η δυσπιστία προς την ρίζα μπορεί να μετριάσει μια αλυσίδα χωρίς να αποδείξει ότι το ιδιωτικό κλειδί της ρίζας παραβιάστηκε.
- Η λίστα αποκλεισμού έκτακτης ανάγκης ενός προγράμματος περιήγησης και το πακέτο αποθήκευσης CA μιας εφαρμογής μπορούν να ακολουθήσουν ξεχωριστές διαδρομές ενημέρωσης. Ελέγξτε την τρέχουσα διεργασία και την πραγματική της διαμόρφωση αξιοπιστίας.
- Η Mozilla επιβεβαίωσε ανεξάρτητα τα ανακτήσιμα ιδιωτικά κλειδιά. Η αναφορά δεν περιγράφει καταχωρήσεις CT για τους επηρεαζόμενους ενδιάμεσους. Η πραγματική κακή χρήση εναντίον άλλων πελατών παραμένει άγνωστη.
- Οι κύριες εκδόσεις επαληθεύουν το certifi 2026.10.19 και το Node 24.22.1 για τους κλάδους που συζητήθηκαν. Τα προσαρμοσμένα πακέτα CA και άλλοι κλάδοι χρόνου εκτέλεσης χρειάζονται τους δικούς τους ελέγχους.
- Ο λογαριασμός του ερευνητή του Tor για 333 αναμεταδότες αφορά ένα περιστατικό του προηγούμενου Οκτωβρίου που δημοσιεύτηκε στις 20 Οκτωβρίου. Περίπου το δέκα τοις εκατό είναι ο αριθμός των αναμεταδοτών, όχι μια μέτρηση παρεμποδιζόμενης κίνησης.
- Ένα μόνο χρονικό όριο δικτύου δεν αποδεικνύει ότι η επικύρωση πιστοποιητικού απέρριψε μια παραβιασμένη αλυσίδα. Διατηρήστε την επαλήθευση και διακρίνετε τα σφάλματα μεταφοράς από τις αποτυχίες ελέγχου ταυτότητας.

## Κεφάλαια

- 0:00 Γιατί ένα σταθερό πρόγραμμα περιήγησης μπορεί να αφήσει μια εφαρμογή εκτεθειμένη;
- 0:49 Τι εξουσιοδοτεί ένα ενδιάμεσο κλειδί;
- 1:22 Τι έχει αποδειχθεί και τι παραμένει άγνωστο;
- 2:03 Γιατί το πρόγραμμα περιήγησης και ο χρόνος εκτέλεσης διαφωνούν;
- 2:58 Ποιες ενημερώσεις έφτασαν σε Python και Node;
- 3:33 Τι έπιασε η προειδοποίηση κλειδιού κεντρικού υπολογιστή Tor;
- 4:10 Πώς ελέγχετε την αναπτυγμένη επιδιόρθωση;
- 4:51 Τι παίρνει τη σφραγίδα ΑΝΑΓΚΗ ΕΛΕΓΧΟΥ;

## Μεταφρασμένη μεταγραφή

Μεταφράστηκε από την πρωτότυπη αγγλική αφήγηση. Ο διαθέσιμος ήχος και οι υπότιτλοι ελέγχονται από το YouTube.

### Γιατί ένα σταθερό πρόγραμμα περιήγησης μπορεί να αφήσει μια εφαρμογή εκτεθειμένη;

0:00 Η διόρθωση του προγράμματος περιήγησης eMudhra ακούγεται σαν να έχει δοθεί το σύνθημα. Οκτώ παραβιασμένα κλειδιά υπογραφής εξακολουθούν να αφήνουν το λογισμικό με παρωχημένες αποφάσεις εμπιστοσύνης. Σε αυτό το βίντεο, ποιος μπορεί να υπογράψει; Γιατί διαφωνούν οι πελάτες; Και ποια ενημέρωση φτάνει πραγματικά στην εφαρμογή σας; Μια μικρή εξάρτηση διατηρεί τη δική της λίστα αξιοπιστίας. Θα επανέλθουμε στη διαδικασία που αποφασίζει αν έφτασε η διόρθωσή σας. Είναι Τετάρτη, 21 Οκτωβρίου, και αυτή είναι η καθημερινή διαφορά.

0:22 Η eMudhra είναι μια αρχή πιστοποιητικών. Υπογράφει ψηφιακά πιστοποιητικά που βοηθούν το λογισμικό να πιστοποιεί ιστοσελίδες και υπηρεσίες. Τα παραβιασμένα κλειδιά περιλαμβάνουν έξι που χρησιμοποιούνται για συνδέσεις στο διαδίκτυο και δύο για υπογραφή λογισμικού. Ένας ενδιάμεσος είναι ένας εξουσιοδοτημένος υπογράφων κάτω από μια αξιόπιστη ρίζα. Την Παρασκευή, ένας δημοσιογράφος ονόματι Wayne έστειλε αποδείξεις στα ριζικά προγράμματα. Μέχρι την Τρίτη, η δημόσια σελίδα περιστατικών εξηγούσε τον καθαρισμό. Σήμερα, οι προγραμματιστές θα ανακαλύψουν πόσα αντίγραφα εμπιστοσύνης έχει συλλέξει η τέλεια κανονική εφαρμογή τους.

### Τι εξουσιοδοτεί ένα ενδιάμεσο κλειδί;

0:49 Εδώ είναι η συνηθισμένη αλυσίδα. Ένας ιστότοπος παρουσιάζει ένα πιστοποιητικό, ένας ενδιάμεσος το υπογράφει, και ο πελάτης σας ακολουθεί την αλυσίδα σε μια ρίζα που ήδη εμπιστεύεται. Η ρίζα είναι το τοπικό σας σημείο εκκίνησης. Όποιος ελέγχει το ιδιωτικό κλειδί του ενδιάμεσου μπορεί να υπογράψει υπό αυτήν την αρχή. Μια μαθηματικά έγκυρη υπογραφή μπορεί να έχει έναν εντελώς αναξιόπιστο υπογράφοντα. Ο επικυρωτής χρειάζεται έναν τρόπο να ανακαλέσει την εμπιστοσύνη μετά από μια παραβίαση. Ο Wayne υπέγραψε το μήνυμα, Έχουμε ένα πρόβλημα εδώ, Wayne,

1:12 με κάθε κλειδί. Η Mozilla επαλήθευσε τον έλεγχο κλειδιού, και στη συνέχεια ανέκτησε ανεξάρτητα τα κλειδιά. Η έκτακτη απάντηση ξεκίνησε με μια πρόταση που ακούγεται σαν κάποιος να παρατήρησε ότι ο εκτυπωτής γραφείου κάπνιζε.

### Τι έχει αποδειχθεί και τι παραμένει άγνωστο;

1:22 Η δημόσια αναφορά λέει ότι τα κλειδιά δημιουργήθηκαν λανθασμένα και ήταν ανακτήσιμα από τα πιστοποιητικά, που δημιουργήθηκαν τον Απρίλιο του περασμένου έτους. Η πραγματική κακή χρήση εναντίον άλλου λογισμικού είναι ακόμα άγνωστη. Η ανακτήσιμη εξουσία υπογραφής είναι αρκετά επείγουσα χωρίς μια εφευρεθείσα λίστα θυμάτων. Υπάρχει ένα σημαντικό όριο εδώ. Η αναφορά δεν βρήκε κανένα πιστοποιητικό καταχωρήσεις διαφάνειας για αυτούς τους ενδιάμεσους κατά τη διάρκεια αυτής της περιόδου.

1:42 Λέει ότι τα προγράμματα περιήγησης που επιβάλλουν τη διαφάνεια δεν θα μπορούσαν να είχαν δεχθεί επίθεση μέσω αυτής της διαδρομής. Αυτός ο επιπλέον έλεγχος του προγράμματος περιήγησης βοηθά να εξηγηθεί γιατί ο τίτλος και μόνο υπερεκτιμά την κατάσταση. Η eMudhra ενημέρωσε τη Mozilla ότι περίπου τριάντα χιλιάδες πιστοποιητικά χρειάζονταν μετεγκατάσταση σε άλλη αλυσίδα. Πρόκειται για υπηρεσίες που λειτουργούν και των οποίων οι ιδιοκτήτες πρέπει να αντικαταστήσουν τα πιστοποιητικά κατά τη διάρκεια του καθαρισμού. Κάπου, μια πρόσκληση ημερολογίου μόλις έγινε εξάρτηση παραγωγής.

### Γιατί το πρόγραμμα περιήγησης και ο χρόνος εκτέλεσης διαφωνούν;

2:03 Οι προμηθευτές προγραμμάτων περιήγησης διανέμουν λίστες αποκλεισμού έκτακτης ανάγκης. Η αναφορά καταγράφει ενέργειες του Firefox και του Chrome την Παρασκευή, ακολουθούμενες από την Apple και τη Microsoft. Αυτοί οι πελάτες μπορούν να απορρίψουν τον παραβιασμένο ενδιάμεσο αναγνωρίζοντας την ρίζα του. Αυτός ο κανόνας ταξιδεύει χωριστά από το πακέτο της εφαρμογής σας. Ορισμένοι πελάτες ελέγχουν μια αλυσίδα έναντι αξιόπιστων ριζών χωρίς να καταναλώνουν έκτακτη πληροφορίες ανάκλησης. Η αρχή μπορεί να δημοσιεύσει μια ανάκληση, και αυτός ο πελάτης μπορεί να συνεχίσει να δέχεται την αλυσίδα.

2:27 Το να βάζεις μια πινακίδα στην πόρτα λειτουργεί καλύτερα όταν ο επισκέπτης διαβάζει πινακίδες. Η Mozilla λέει ότι ορισμένα προφίλ Android απέτυχαν να εφαρμόσουν την ενημερωμένη λίστα αποκλεισμού στην εκκίνηση. Μια επιδιόρθωση κυκλοφόρησε στον Firefox 158.02. Οπότε κρατήστε και το πρόγραμμα περιήγησης ενημερωμένο. Η ανακοίνωση δεν μπορεί να αποθηκεύσει το τηλέφωνό σας. Οι διαχειριστές μπορούν να αφαιρέσουν ένα άγκυρο εμπιστοσύνης όταν οι πελάτες δεν διαθέτουν στενότερο αποκλεισμό. Το νήμα της Mozilla περιγράφει την έκτακτη δυσπιστία προς τη ρίζα emSign ECC, γενιά τρία. Η αφαίρεση μιας ρίζας από ένα κατάστημα εμπιστοσύνης μπλοκάρει τις αλυσίδες που βασίζονται σε

2:54 αυτήν, ακόμα και όταν το ιδιωτικό κλειδί της ρίζας δεν παραβιάστηκε ποτέ. Η τελευταία έκδοση του certifi της Python είναι μια μεταγενέστερη ενημέρωση.

### Ποιες ενημερώσεις έφτασαν σε Python και Node;

3:01 Η δέσμευσή της αποκαθιστά επίσης τις ανεπηρέαστες ρίζες emSign μετά από προηγούμενη αφαίρεση. Το να διαγράψεις οτιδήποτε φέρει το όνομα της εταιρείας είναι μια άθλια υποκατάσταση για το διατηρημένο πακέτο. Θέλεις να απορριφθεί η επικίνδυνη αλυσίδα και οι νόμιμοι πελάτες να εξακολουθούν να λειτουργούν. Το ιστορικό των εκδόσεων διατηρεί και τις δύο αποφάσεις. Ο καθαρισμός ασφαλείας έχει την λαμπερή δουλειά να είναι επείγων, ακριβής, και να κατηγορείται για όποια υπηρεσία χαλάσει κατά τη διάρκεια του μεσημεριανού. Η έκδοση είκοσι τέσσερα κόμμα είκοσι δύο κόμμα ένα του Node κυκλοφόρησε σήμερα με ενημερωμένες

3:26 ρίζες. Ελέγξτε την συμβουλευτική και την πραγματική διαμόρφωση CA του δικού σας κλάδου. Ένα προσαρμοσμένο πακέτο μπορεί να αλλάξει ποιο κατάστημα εμπιστοσύνης χρησιμοποιεί η διαδικασία. Στο Tor, ένας ερευνητής δημοσίευσε χθες μια αναφορά για τριακόσιους τριάντα

### Τι έπιασε η προειδοποίηση κλειδιού κεντρικού υπολογιστή Tor;

3:36 τρείς παραβιασμένους αναμεταδότες εξόδου. Η υποκλοπή ξεκίνησε νωρίτερα αυτό το μήνα. Οι αναμεταδότες επισημάνθηκαν και έκλεισαν μέρες αργότερα, πριν φτάσει η αναφορά. Το SSH προειδοποίησε τον ερευνητή ότι η ταυτότητα του διακομιστή είχε αλλάξει. Το ανέφερε στην ομάδα υγείας δικτύου του Tor. Η ειδοποίηση του χειριστή τους επιβεβαιώνει αναφορές υποκλοπής. Αυτή η προειδοποίηση έκανε ακριβώς το άβολο πράγμα που υποτίθεται ότι πρέπει να κάνει η αυθεντικοποίηση.

3:57 Περίπου το δέκα τοις εκατό υπολόγισε αναμεταδότες με διαφορετικές χωρητικότητες, αφήνοντας το μερίδιο κίνησης αμέτρητο. Η δρομολόγηση Tor και η ταυτότητα του διακομιστή SSH έχουν ξεχωριστές λειτουργίες. Επαληθεύστε ένα αλλαγμένο κλειδί κεντρικού υπολογιστή μέσω ενός αξιόπιστου καναλιού πριν το αποδεχτείτε και συνδεθείτε. Πίσω στην εφαρμογή σας, ξεκινήστε με το εκτελούμενο κοντέινερ ή το εικονικό περιβάλλον.

### Πώς ελέγχετε την αναπτυγμένη επιδιόρθωση;

4:12 Βρείτε το πακέτο CA που χρησιμοποιεί πραγματικά και εφαρμόστε την σχετική ενημέρωση συντήρησης. Αναδημιουργήστε και επανεκκινήστε την αναπτυγμένη διεργασία έτσι ώστε να μπορεί να φορτώσει το αλλαγμένο υλικό εμπιστοσύνης. Χρησιμοποιήστε τις δημόσιες αλυσίδες δοκιμών των συντηρητών στο πραγματικό περιβάλλον του πελάτη. Διατηρήστε το σφάλμα πιστοποιητικού ξεχωριστό από ένα χρονικό όριο δικτύου. Μια αποτυχημένη σύνδεση σε Wi-Fi ξενοδοχείου είναι μια εξαιρετική δοκιμή του Wi-Fi ξενοδοχείου. Η μικρή εξάρτηση είναι ένα ξεχωριστά πακεταρισμένο κατάστημα εμπιστοσύνης, όπως το certifi. Το πρόγραμμα περιήγησης της επιφάνειας εργασίας σας δεν επεξεργάζεται ποτέ αυτήν την εξάρτηση μέσα σε ένα παλιό κοντέινερ. Η αναπτυγμένη διαδικασία και η διαμόρφωσή της αποφασίζουν αν έφτασε η διόρθωση.

4:42 Αυτό είναι το μέρος για να επαληθεύσετε την ενημέρωσή σας. Αν προτιμάτε να το διαβάσετε αυτό παρά να με ακούσετε να το λέω, το diff φτάνει στα εισερχόμενά σας κάθε πρωί, δωρεάν στο thedailydiff.dev, σύνδεσμος παρακάτω.

### Τι παίρνει τη σφραγίδα ΑΝΑΓΚΗ ΕΛΕΓΧΟΥ;

4:51 Οπότε η σημερινή ετυμηγορία είναι ΧΡΕΙΑΖΕΤΑΙ ΕΛΕΓΧΟΣ. Θέλω να ελεγχθεί η εμπιστοσύνη του αναπτυγμένου πελάτη πριν κλείσει κανείς αυτό το περιστατικό. Εγγραφείτε, πατήστε το κουδούνι και πείτε μου στα σχόλια αν θα το είχατε σφραγίσει διαφορετικά. Και αυτή είναι η διαφορά για σήμερα. Είμαι ο Νίκος από την Axrisi. Συγχωνεύστε υπεύθυνα.

## Πηγές

- [eMudhra Intermediate CA Compromise](https://emudhra.we-have-a-problem.com/) — Dennis Jackson
- [Private key compromise of eMudhra Intermediate Certificates](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449) — Mozilla Bugzilla
- [certifi 2026.10.19 release](https://github.com/certifi/python-certifi/releases/tag/2026.10.19) — certifi
- [Restore unaffected emSign roots](https://github.com/certifi/python-certifi/commit/662df63d7906df66f1f07c0751a3dfe9da14d914) — certifi
- [Node 24.22.1 security release](https://github.com/nodejs/node/releases/tag/v24.22.1) — Node.js
- [Update root certificates to NSS 3.131.1](https://github.com/nodejs/node/pull/66877) — Node.js
- [How I got over 300 Tor exit nodes removed](https://kaba.cx/posts/20261020_Tor/) — KABA
- [Security incident affecting some relay operators](https://lists.torproject.org/mailman3/hyperkitty/list/tor-relays@lists.torproject.org/thread/WOHPLKCSHYXFTBRZXDENDKJZMBMPLMG5/) — Tor Project network health