# eMudhra bitarteko CA konpromisoa: arakatzailearen blokeo-zerrendak eta exekuzio-fidagarritasunaren hutsunea

Published: 2026-10-21

eMudhra sinadura-gako bitarteko zortzi arriskuan jarri ziren, horietatik sei TLSrako erabiliak eta bi kodea sinatzeko. Gertaera honek Mozillaren baieztapenari, arakatzailearen blokeoari eta ondorengo eguneratzeei jarraitzen die, hedatutako aplikazio batek bere fidagarritasun-konfigurazioa zergatik egiaztatu behar duen azaltzeko. Tor-en txosten bereizi batek SSH ostalari-identitatearen abisu bat bere lana egiten ari dela erakusten du.

Canonical: https://thedailydiff.dev/eu/video/2026-10-21-emudhra-trust-gap/

## Bideo honek zer jorratzen duen

- Arriskuan jarritako gakoak bitarteko sinatzaileei dagozkie. Erroko mesfidantzak kate bat arindu dezake erroko gako pribatua arriskuan jarri zela frogatu gabe.
- Arakatzaile baten larrialdi-blokeo-zerrendak eta aplikazio baten CA denda barneak eguneratze-bide desberdinak izan ditzakete. Egiaztatu martxan dagoen prozesua eta bere benetako fidagarritasun-konfigurazioa.
- Mozillak modu independentean baieztatu zituen berreskuragarri ziren gako pribatuak. Txostenak ez du deskribatzen kaltetutako bitartekoentzako CT sarrerarik; beste bezeroen aurkako benetako erabilera okerra oraindik ezezaguna da.
- Lehen mailako bertsioek certifi 2026.10.19 eta Node 24.22.1 egiaztatzen dituzte eztabaidatutako adarretarako. CA pertsonalizatutako bildumek eta beste exekuzio-adarrek beren egiaztapenak behar dituzte.
- Tor-eko ikertzailearen 333-errelebo kontuak urriko gertaera goiztiarrago bati buruzkoa da, urriaren 20an argitaratua. Gutxi gorabehera ehuneko hamar errelebo kopurua da, ez atzemandako trafikoaren neurketa bat.
- Sareko denbora-muga batek bakarrik ez du ezartzen ziurtagiriaren baliozkotzeak arriskuan jarritako kate bat baztertu zuenik. Gorde egiaztapena eta bereizi garraio-erroreak autentifikazio-akatsen artean.

## Kapituluak

- 0:00 Zergatik utz dezake arakatzaile finko batek aplikazio bat agerian?
- 0:49 Zer baimentzen du bitarteko gako batek?
- 1:22 Zer dago frogatuta, eta zer ezezagun oraindik?
- 2:03 Zergatik ez datoz bat arakatzailea eta exekuzioa?
- 2:58 Zein eguneratze iritsi ziren Pythoneko eta Noderako?
- 3:33 Zer harrapatu zuen Tor ostalari-gakoaren abisuak?
- 4:10 Nola egiaztatzen da hedatutako konponketa?
- 4:51 Zer lortzen du NEEDS REVIEW zigiluak?

## Itzulitako transkripzioa

Jatorrizko ingelesezko narraziotik itzulia. Eskuragarri dauden audioa eta azpitituluak YouTube-k kontrolatzen ditu.

### Zergatik utz dezake arakatzaile finko batek aplikazio bat agerian?

0:00 eMudhra arakatzailearen konponketa "libre" bezalako zerbait da. Zortzi sinadura-gako arriskuan jarri arren, softwareak konfiantza-erabaki zaharrak ditu oraindik. Bideo honetan, nork sinatu dezake? Zergatik ez datoz bat bezeroak? Eta zein eguneratze iristen zaio benetan zure aplikazioari? Dependentzia txiki batek bere konfiantza-zerrenda propioa mantentzen du. Zure konponketa iritsi den ala ez erabakitzen duen prozesura itzuliko gara. Asteazkena da, urriak hogeita bat, eta hau The Daily Diff da.

0:22 eMudhra ziurtagiri-autoritate bat da. Webguneak eta zerbitzuak autentifikatzen laguntzen duten ziurtagiri digitalak sinatzen ditu. Zerbitzuak. Arriskuan jarritako gakoen artean sei web-konexioetarako erabili ziren eta bi softwarea sinatzeko. Bitarteko bat erro fidagarri baten azpian dagoen sinatzaile delegatu bat da. Bitarteko bat erro fidagarri baten azpian dagoen sinatzaile delegatu bat da. Ostiralean, Wayne izeneko kazetari batek erroko programetarako froga bidali zuen. Astearterako, gertakariaren orri publikoak garbiketa azaltzen zuen. Gaur, garatzaileek beren aplikazio guztiz normalak zenbat konfiantza-kopia bildu dituen deskubritu behar dute. Gaur, garatzaileek beren aplikazio guztiz normalak zenbat konfiantza-kopia bildu dituen deskubritu behar dute.

### Zer baimentzen du bitarteko gako batek?

0:49 Hona hemen kate arrunt hori. Gune batek ziurtagiri bat aurkezten du, bitarteko batek sinatzen du, eta zure bezeroak kateari jarraitzen dio jadanik fidatzen den erro batera iritsi arte. Erroa zure tokiko abiapuntua da. Bitartekoaren gako pribatua kontrolatzen duenak sinatu dezake autoritate horren pean. Matematikoki baliozko sinadura batek sinatzaile guztiz fidagarri bat izan dezake. Balioztatzaileak konfiantza erretiratzeko modu bat behar du konpromiso baten ondoren. Waynek mezua sinatu zuen, "Arazo bat dugu hemen, Wayne",

1:12 gako bakoitzarekin. Mozillak gakoaren kontrola egiaztatu zuen, eta gero modu independentean berreskuratu zituen gakoak. Larrialdi-erantzuna bulegoko inprimagailua erretzen ari zela norbaitek nabaritu balu bezala hasten den esaldi batekin hasi zen. Bulegoko inprimagailua erretzen ari zela norbaitek nabaritu balu bezala hasten den esaldi batekin hasi zen.

### Zer dago frogatuta, eta zer ezezagun oraindik?

1:22 Txosten publikoak dio gakoak gaizki sortu zirela eta ziurtagirietatik berreskuragarri zirela, iazko apirilean sortuak. Iazko apirilean sortuak. Beste software baten aurkako benetako erabilera okerra oraindik ezezaguna da. Sinadura-autoritatea berreskuratzea nahikoa premiazkoa da biktimen zerrenda asmatu gabe ere. Muga garrantzitsu bat dago hemen. Txostenak ez zuen aurkitu ziurtagiri-gardentasun-sarrerarik bitarteko horientzat Txostenak ez zuen aurkitu ziurtagiri-gardentasun-sarrerarik bitarteko horientzat aldi horretan.

1:42 Dioenez, gardentasuna betearazten duten arakatzaileak ezin izan ziren bide honen bidez eraso. Arakatzailearen egiaztapen gehigarri horrek zergatik titularrak bakarrik gainestimatzen duen irudia azaltzen laguntzen du. Dioenez, gardentasuna betearazten duten arakatzaileak ezin izan ziren bide honen bidez eraso. Arakatzailearen egiaztapen gehigarri horrek zergatik titularrak bakarrik gainestimatzen duen irudia azaltzen laguntzen du. gainestimatzen duen irudia azaltzen laguntzen du. eMudhrako ordezkariak Mozillari esan zion hirurogei mila ziurtagiri inguru beste kate batera migratu behar zirela. Horiek garbiketan zehar ziurtagiriak ordezkatu behar dituzten zerbitzuak dira. Garbiketan zehar ziurtagiriak ordezkatu behar dituzten zerbitzuak dira. Nonbait, egutegiko gonbidapen bat ekoizpen-dependentzia bihurtu berri da.

### Zergatik ez datoz bat arakatzailea eta exekuzioa?

2:03 Arakatzaileen saltzaileek larrialdi-blokeo-zerrendak banatzen dituzte. Txostenak Firefox eta Chromeren ekintza erregistratzen du ostiralean, Apple eta Microsoftekin jarraituz. Bezero hauek bitarteko arriskuan jarria baztertu dezakete, bere erroa aitortuz. Arau hori zure aplikazioaren bildumatik bereizita bidaiatzen da. Bezero batzuek kate bat egiaztatzen dute erro fidagarrien aurka, larrialdi-baliogabetze informazioa kontsumitu gabe. Agintaritzak baliogabetze bat argitaratu dezake, eta bezero horrek katea onartzen jarraitu dezake.

2:27 Atean seinale bat jartzea hobeto funtzionatzen du bisitariak seinaleak irakurtzen dituenean. Mozillak dio Android profil batzuek ez zutela eguneratutako blokeo-zerrenda aplikatu abiaraztean. Firefox 158.02 bertsioan konponketa bat bidali zen. Beraz, mantendu arakatzailea ere eguneratuta. Iragarkiak ezin du zure telefonoa inbentariatu. Mantentzaileek konfiantza-ankla bat kendu dezakete bezeroek blokeo estuagoa ez dutenean. Mozillaren hariak emSign ECC erroaren larrialdi-mesfidantza deskribatzen du, hirugarren belaunaldiko. Konfiantza-biltegi batetik erro bat kentzeak hura oinarri duten kateak blokeatzen ditu,

2:54 erroaren gako pribatua bera inoiz arriskuan jarri ez bada ere. Python-en azken certifi bertsioa beheranzko eguneratze bat da.

### Zein eguneratze iritsi ziren Pythoneko eta Noderako?

3:01 Bere konpromisoak kaltetuta ez dauden emSign erroak ere berrezartzen ditu aurreko kentze baten ondoren. Enpresaren izena daraman guztia ezabatzea pakete mantenduaren ordezko txarra da. Kate arriskutsua baztertzea eta legezko bezeroek lanean jarraitzea nahi duzu. Kate arriskutsua baztertzea eta legezko bezeroek lanean jarraitzea nahi duzu. Bertsioen historiak bi erabakiak gordetzen ditu. Segurtasun-garbiketa premiazkoa, zehatza eta bazkalorduan hautsi den zerbitzuaren erruduna izatearen lan dotorea du. Segurtasun-garbiketa premiazkoa, zehatza eta bazkalorduan hautsi den zerbitzuaren erruduna izatearen lan dotorea du. Node-ren 24.22.1 bertsioa gaur bidali da erro eguneratuekin.

3:26 Egiaztatu zure adarraren aholkua eta benetako CA konfigurazioa. Bilduma pertsonalizatu batek prozesuak zein konfiantza-biltegi erabiltzen duen aldatu dezake. Tor-en, ikertzaile batek hirurehun eta hogeita hamahiru irteerako errelebo arriskuan jarri zirela argitaratu zuen atzo.

### Zer harrapatu zuen Tor ostalari-gakoaren abisuak?

3:36 hiru irteerako errelebo arriskuan jarri zirela argitaratu zuen atzo. Atzematea hilabete honen hasieran hasi zen. Erreleboak markatu eta itzali egin ziren egun batzuk geroago, idazkera iritsi aurretik. SSHk ikertzaileari abisatu zion zerbitzariaren identitatea aldatu zela. Tor-en sareko osasun taldeari jakinarazi zion. Haien operadorearen oharrak atzemate-txostenak baieztatzen ditu. Abisu horrek zehazki autentifikazioak egin behar duen gauza desegokia egiten zuen.

3:57 Gutxi gorabehera ehuneko hamarrek edukiera desberdineko erreleboak zenbatu zituzten, trafiko-kuota neurtu gabe utziz. Tor bideratzeak eta SSH zerbitzariaren identitateak lan desberdinak dituzte. Egiaztatu aldatutako ostalari-gako bat kanal fidagarri baten bidez onartu eta saioa hasi aurretik. Zure aplikazioan berriro, hasi martxan dagoen edukiontziarekin edo ingurune birtualarekin.

### Nola egiaztatzen da hedatutako konponketa?

4:12 Aurkitu benetan erabiltzen duen CA sorta eta aplikatu dagokion eguneratze mantendua. Berreraiki eta berrabiarazi hedatutako prozesua, aldatutako konfiantza-materiala kargatu ahal izateko. Erabili mantentzaileen proba-kate publikoak bezeroaren benetako ingurunean. Mantendu ziurtagiriaren errorea sareko denbora-mugatik bereizita. Hoteleko Wi-Fi sarean huts egindako konexio bat hoteleko Wi-Fi sarearen proba bikaina da. Dependentzia txiki hori bereizita bildu den konfiantza-biltegi bat da, certifi bezala. Zure mahaigaineko arakatzaileak ez du inoiz dependentzia hori editatzen edukiontzi zahar baten barruan. Hedadutako prozesuak eta bere konfigurazioak erabakitzen dute konponketa iritsi den ala ez.

4:42 Hori da zure eguneratzea egiaztatzeko lekua. Hau irakurri nahiago baduzu niri esaten entzutea baino, diff-a zure sarrerako ontzira iristen da goizero, doan daily diff dot dev helbidean, esteka behean.

### Zer lortzen du NEEDS REVIEW zigiluak?

4:51 Beraz, gaurko epaia NEEDS REVIEW da. Hedadutako bezeroaren konfiantza egiaztatuta nahi dut inork gertakari hau itxi aurretik. Harpidetu, sakatu kanpaia, eta esan iruzkinetan zuk zigilatu ezean. desberdin. Eta hori da gaurko diff-a. Niko naiz, Axrisikoa. Batu arduraz.

## Iturriak

- [eMudhra Intermediate CA Compromise](https://emudhra.we-have-a-problem.com/) — Dennis Jackson
- [Private key compromise of eMudhra Intermediate Certificates](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449) — Mozilla Bugzilla
- [certifi 2026.10.19 release](https://github.com/certifi/python-certifi/releases/tag/2026.10.19) — certifi
- [Restore unaffected emSign roots](https://github.com/certifi/python-certifi/commit/662df63d7906df66f1f07c0751a3dfe9da14d914) — certifi
- [Node 24.22.1 security release](https://github.com/nodejs/node/releases/tag/v24.22.1) — Node.js
- [Update root certificates to NSS 3.131.1](https://github.com/nodejs/node/pull/66877) — Node.js
- [How I got over 300 Tor exit nodes removed](https://kaba.cx/posts/20261020_Tor/) — KABA
- [Security incident affecting some relay operators](https://lists.torproject.org/mailman3/hyperkitty/list/tor-relays@lists.torproject.org/thread/WOHPLKCSHYXFTBRZXDENDKJZMBMPLMG5/) — Tor Project network health