# eMudhra vahesertifitseerimisasutuse kompromiss: brauseri blokeerimisloendid ja käitusaja usaldusvahe

Published: 2026-10-21

Kaheksa eMudhra vahepealset allkirjastamisvõtit kompromiteeriti, sealhulgas kuus, mida kasutati TLS-i jaoks, ja kaks koodiallkirjastamise jaoks. Episode järgib Mozilla kinnitust, brauseri blokeerimist ja allavoolu värskendusi, et selgitada, miks juurutatud rakenduse usalduskonfiguratsioon tuleb üle kontrollida. Eraldi Tor-i aruanne näitab, et SSH hosti identiteedi hoiatus teeb oma tööd.

Canonical: https://thedailydiff.dev/et/video/2026-10-21-emudhra-trust-gap/

## Mida see video hõlmab

- Kompromiteeritud võtmed kuuluvad vahepealsetele allkirjastajatele. Juure ebausaldamine võib ahelat leevendada, ilma et oleks vaja tõestada, et juurvõti kompromiteeriti.
- Brauseri hädaolukorra blokeerimisloend ja rakenduse komplekteeritud CA-pood võivad järgida eraldi värskendusradu. Kontrollige töötavat protsessi ja selle tegelikku usalduskonfiguratsiooni.
- Mozilla kinnitas iseseisvalt taastatavaid privaatvõtmeid. Aruanne ei kirjelda mõjutatud vahepealsete jaoks CT-kirjeid; tegelik väärkasutus teiste klientide vastu jääb teadmata.
- Peamised versioonid kontrollivad mainitud harude jaoks certifi 2026.10.19 ja Node 24.22.1. Kohandatud CA-komplektid ja muud käitusaja harud vajavad oma kontrolle.
- Tori uurija 333-relee konto puudutab varasemat oktoobrikuist intsidenti, mis avaldati 20. oktoobril. Ligikaudu kümme protsenti on releede arv, mitte pealtkuulatud liikluse mõõtmine.
- Ainuüksi võrgu ajalõpp ei tõesta, et sertifikaadi valideerimine lükkas kompromiteeritud ahela tagasi. Säilitage kontrollimine ja eristage transpordivead autentimisvigadest.

## Peatükid

- 0:00 Miks võib parandatud brauser rakenduse haavatavaks jätta?
- 0:49 Mida vahepealne võti volitab?
- 1:22 Mis on tõestatud ja mis jääb teadmata?
- 2:03 Miks brauser ja käitusaeg ei nõustu?
- 2:58 Millised värskendused jõudsid Pythoni ja Node'i?
- 3:33 Mida Tor-i hostivõtme hoiatus püüdis?
- 4:10 Kuidas kontrollida juurutatud parandust?
- 4:51 Millele lüüakse tempel VAJAB ÜLEVAATAMIST?

## Tõlgitud transkriptsioon

Tõlgitud ingliskeelsest originaaljutustusest. Saadaolevat heli ja subtiitreid kontrollib YouTube.

### Miks võib parandatud brauser rakenduse haavatavaks jätta?

0:00 eMudhra brauseri parandus kõlab nagu luba tegutseda. Kaheksa kompromiteeritud allkirjastamisvõtit jätavad tarkvara ikkagi aegunud usaldusotsustega. Selles videos, kes saab allkirjastada? Miks kliendid ei nõustu? Ja milline värskendus tegelikult teie rakenduseni jõuab? Üks pisike sõltuvus hoiab oma usaldusloendit. Me tuleme tagasi protsessi juurde, mis otsustab, kas teie parandus saabus. On kolmapäev, kahekümne esimene oktoober, ja see on The Daily Diff.

0:22 eMudhra on sertifitseerimisasutus. See allkirjastab digitaalseid sertifikaate, mis aitavad tarkvaral veebisaite ja teenuseid autentida. Kompromiteeritud võtmed hõlmavad kuut, mida kasutati veebiühenduste jaoks, ja kahte, mida kasutati tarkvara allkirjastamiseks. Vahepealne on delegeeritud allkirjastaja usaldatud juure all. Reedel saatis reporter nimega Wayne juurprogrammidele tõendi. Teisipäevaks selgitas avalik intsidentide leht puhastustööd. Täna saavad arendajad teada, kui palju usalduskoopiaid nende täiesti tavaline rakendus on kogunud.

### Mida vahepealne võti volitab?

0:49 Siin on tavaline ahel. Sait esitab sertifikaadi, vahepealne allkirjastab selle, ja teie klient järgib ahelat juurteni, mida ta juba usaldab. Juur on teie kohalik lähtepunkt. Kes iganes kontrollib vahepealse privaatvõtit, saab selle volituse alusel allkirjastada. Matemaatiliselt kehtiv allkiri võib omada täiesti ebausaldusväärset allkirjastajat. Valideerijal on vaja viisi, kuidas pärast kompromissi usaldus tühistada. Wayne allkirjastas sõnumi "Meil on siin probleem, Wayne",

1:12 iga võtmega. Mozilla kontrollis võtmekontrolli, seejärel taastas iseseisvalt võtmed. Hädaolukorra reageerimine algas lausega, mis kõlab nagu keegi märkas, et kontori printer suitseb.

### Mis on tõestatud ja mis jääb teadmata?

1:22 Ametlikus aruandes öeldakse, et võtmed genereeriti valesti ja olid sertifikaatidest taastatavad, mis loodi eelmise aasta aprillis. Tegelik väärkasutus teise tarkvara vastu on endiselt teadmata. Taastatav allkirjastamisvolitus on piisavalt kiireloomuline ka ilma väljamõeldud ohvriloendita. Siin on oluline piirang. Aruanne ei leidnud sertifikaatide läbipaistvuse kirjeid nende vahepealsete jaoks sel perioodil.

1:42 Selles öeldakse, et läbipaistvust jõustavaid brausereid ei oleks saanud selle marsruudi kaudu rünnata. See lisa brauseri kontroll aitab selgitada, miks ainuüksi pealkiri liiga palju pilti moonutab. eMudhra teatas Mozillale, et umbes kolmkümmend tuhat sertifikaati vajas migreerimist teise ahelasse. Need on töötavad teenused, mille omanikud peavad puhastustööde käigus sertifikaadid asendama. Kusagil sai kalendrikutse just tootmissõltuvuseks. Kusagil sai kalendrikutse just tootmissõltuvuseks.

### Miks brauser ja käitusaeg ei nõustu?

2:03 Brauserimüüjad levitavad hädaolukorra blokeerimisloendeid. Aruanne registreerib Firefoxi ja Chrome'i tegevuse reedel, millele järgnesid Apple ja Microsoft. Need kliendid saavad tagasi lükata kompromiteeritud vahepealse, tunnustades samal ajal selle juurt. See reegel liigub teie rakenduse komplektist eraldi. Mõned kliendid kontrollivad ahelat usaldusväärsete juurte suhtes, ilma et kasutaksid hädaolukorra tühistamisteavet. Ametiasutus võib avaldada tühistamise, ja see klient võib jätkata ahela aktsepteerimist.

2:27 Sildi uksele panemine töötab paremini, kui külastaja silte loeb. Mozilla ütleb, et mõned Androidi profiilid ei suutnud käivitamisel värskendatud blokeerimisloendit rakendada. Parandus saadeti Firefoxi versioonis 158.02. Seega hoidke ka brauserit ajakohasena. Teatis ei saa teie telefoni inventeerida. Hooldajad saavad usaldusankru eemaldada, kui klientidel puudub kitsam blokeerimine. Mozilla teema kirjeldab emSign ECC juurvõtme, kolmanda generatsiooni, hädaolukorra ebausaldust, kolmanda generatsiooni. Juurvõtme eemaldamine usaldusvarust blokeerib sellele tuginevad ahelad,

2:54 isegi kui juurvõtme privaatvõtit ennast ei ole kunagi kompromiteeritud. Pythoni uusim certifi versioon on üks allavoolu värskendus.

### Millised värskendused jõudsid Pythoni ja Node'i?

3:01 Selle kinnitus taastab ka varem eemaldatud puutumata emSigni juured. Kõige ettevõtte nime kandva kustutamine on vilets asendus hooldatud paketile. Te tahate, et ohtlik ahel lükataks tagasi ja legitiimsed kliendid töötaksid endiselt. Väljalaske ajalugu säilitab mõlemad otsused. Turvapuhastusel on glamuurne töö olla kiireloomuline, täpne ja teda süüdistatakse igas teenuses, mis lõuna ajal puruneb. Node'i versioon 24.22.1 saadeti täna uuendatud

3:26 juurtega. Kontrollige oma haru nõuannet ja tegelikku CA konfiguratsiooni. Kohandatud komplekt võib muuta, millist usalduspoes protsess kasutab. Toris avaldas teadlane eile teate kolmsada kolmekümne

### Mida Tor-i hostivõtme hoiatus püüdis?

3:36 kolme kompromiteeritud väljumisrelee kohta. Pealtkuulamine algas selle kuu alguses. Releed märgistati ja lülitati päevade pärast välja, enne kui kirjutis saabus. SSH hoiatas teadlast, et serveri identiteet oli muutunud. Ta teatas sellest Tori võrgutervise meeskonnale. Nende operaatori teade kinnitab pealtkuulamise teateid. See hoiatus tegi täpselt ebamugavat asja, mida autentimine peaks

3:57 tegema. Ligikaudu kümme protsenti loendas erineva võimsusega releesid, jättes liiklusosa mõõtmata. Tori marsruutimisel ja SSH serveri identiteedil on eraldi ülesanded. Kontrollige muutunud hostivõtit läbi usaldusväärse kanali, enne kui selle aktsepteerite ja sisse logite. Oma rakenduses alustage töötava konteineri või virtuaalse keskkonnaga.

### Kuidas kontrollida juurutatud parandust?

4:12 Leidke CA-komplekt, mida see tegelikult kasutab, ja rakendage asjakohane hooldatud värskendus. Ehitage uuesti ja taaskäivitage juurutatud protsess, et see saaks laadida muutunud usaldusmaterjali. Kasutage hooldajate avalikke testiahelad kliendi tegelikus keskkonnas. Hoidke sertifikaadiviga võrgu ajalõpust eraldi. Hotelli WiFi-s ebaõnnestunud ühendus on suurepärane hotelli WiFi test. Pisike sõltuvus on eraldi komplekteeritud usaldusvaru, nagu certifi. Teie töölauabrauser ei redigeeri seda sõltuvust kunagi vanas konteineris. Juurutatud protsess ja selle konfiguratsioon otsustavad, kas parandus

4:42 saabus. See on koht, kus oma värskendust kontrollida. Kui te pigem loeksite seda, kui kuuleksite mind seda ütlemas, jõuab see erinevus teie postkasti igal hommikul, tasuta saidil the daily diff dot dev, link allpool.

### Millele lüüakse tempel VAJAB ÜLEVAATAMIST?

4:51 Nii et tänane otsus on VAJAB ÜLEVAATAMIST. Ma tahan, et juurutatud kliendi usaldus oleks kontrollitud enne, kui keegi selle intsidenti sulgeb. Telli, kliki kellukesel ja ütle mulle kommentaarides, kas oleksite sellele templi erinevalt löönud. Ja see on tänane erinevus. Ma olen Niko Axrisist. Ühendage vastutustundlikult.

## Allikad

- [eMudhra Intermediate CA Compromise](https://emudhra.we-have-a-problem.com/) — Dennis Jackson
- [Private key compromise of eMudhra Intermediate Certificates](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449) — Mozilla Bugzilla
- [certifi 2026.10.19 release](https://github.com/certifi/python-certifi/releases/tag/2026.10.19) — certifi
- [Restore unaffected emSign roots](https://github.com/certifi/python-certifi/commit/662df63d7906df66f1f07c0751a3dfe9da14d914) — certifi
- [Node 24.22.1 security release](https://github.com/nodejs/node/releases/tag/v24.22.1) — Node.js
- [Update root certificates to NSS 3.131.1](https://github.com/nodejs/node/pull/66877) — Node.js
- [How I got over 300 Tor exit nodes removed](https://kaba.cx/posts/20261020_Tor/) — KABA
- [Security incident affecting some relay operators](https://lists.torproject.org/mailman3/hyperkitty/list/tor-relays@lists.torproject.org/thread/WOHPLKCSHYXFTBRZXDENDKJZMBMPLMG5/) — Tor Project network health