سازش CA میانی eMudhra: لیست های سیاه مرورگر و شکاف اعتماد زمان اجرا

این ویدیو چه مواردی را پوشش می‌دهد

• کلیدهای به خطر افتاده متعلق به امضاکنندگان میانی هستند. عدم اعتماد به ریشه می تواند یک زنجیره را بدون اثبات به خطر افتادن کلید خصوصی ریشه، کاهش دهد.
• لیست سیاه اضطراری مرورگر و فروشگاه CA بسته بندی شده یک برنامه می تواند مسیرهای به روز رسانی جداگانه ای را دنبال کند. فرآیند در حال اجرا و پیکربندی اعتماد واقعی آن را بررسی کنید.
• موزیلا به طور مستقل کلیدهای خصوصی قابل بازیابی را تأیید کرد. گزارش هیچ ورودی CT برای واسطه های آسیب دیده را توضیح نمی دهد؛ سوء استفاده واقعی علیه سایر مشتریان ناشناخته باقی می ماند.
• نسخه های اصلی certifi 2026.10.19 و Node 24.22.1 را برای شاخه های مورد بحث تأیید می کنند. بسته های CA سفارشی و سایر شاخه های زمان اجرا نیاز به بررسی های خود دارند.
• حساب 333 رله ای محقق Tor مربوط به حادثه اوایل اکتبر است که در 20 اکتبر منتشر شد. تقریباً ده درصد یک تعداد رله است، نه یک اندازه گیری ترافیک رهگیری شده.
• یک وقفه زمانی شبکه به تنهایی ثابت نمی کند که اعتبارسنجی گواهی یک زنجیره به خطر افتاده را رد کرده است. تأیید را حفظ کنید و خطاهای حمل و نقل را از خطاهای احراز هویت متمایز کنید.

رونوشت ترجمه شده

ترجمه شده از روایت اصلی انگلیسی. صوت و زیرنویس‌های موجود توسط YouTube کنترل می‌شوند.

چرا یک مرورگر ثابت می تواند یک برنامه را در معرض خطر قرار دهد؟

0:00 رفع اشکال مرورگر eMudhra مانند یک مجوز کامل به نظر می رسد. هشت کلید امضای به خطر افتاده هنوز نرم افزار را با تصمیمات اعتماد منسوخ شده ترک می کنند. در این ویدئو، چه کسی می تواند امضا کند؟ چرا مشتریان با هم اختلاف دارند؟ و کدام به روز رسانی واقعاً به برنامه شما می رسد؟ یک وابستگی کوچک لیست اعتماد خود را حفظ می کند. ما به فرآیندی که تصمیم می گیرد آیا رفع اشکال شما رسیده است، باز خواهیم گشت. چهارشنبه، بیست و یکم اکتبر است و این The Daily Diff است.

0:22 eMudhra یک مرجع گواهی است. این گواهی های دیجیتالی را امضا می کند که به نرم افزار در احراز هویت وب سایت ها و خدمات کمک می کند. کلیدهای به خطر افتاده شامل شش مورد استفاده برای اتصالات وب و دو مورد برای امضای نرم افزار است. یک واسطه یک امضاکننده واگذار شده در زیر یک ریشه مورد اعتماد است. جمعه، یک خبرنگار به نام وین شواهدی را به برنامه های ریشه ارسال کرد. تا سه شنبه، صفحه حادثه عمومی در حال توضیح پاکسازی بود. امروز، توسعه دهندگان باید کشف کنند که برنامه کاملاً عادی آنها چند نسخه از اعتماد را جمع آوری کرده است.

یک کلید میانی چه چیزی را مجاز می کند؟

0:49 این زنجیره معمولی است. یک سایت یک گواهی ارائه می دهد، یک واسطه آن را امضا می کند، و مشتری شما زنجیره را به یک ریشه که قبلاً به آن اعتماد دارد، دنبال می کند. ریشه نقطه شروع محلی شماست. هر کسی که کلید خصوصی واسطه را کنترل می کند می تواند تحت آن مرجع امضا کند. یک امضای معتبر ریاضی می تواند یک امضاکننده کاملاً غیرقابل اعتماد داشته باشد. اعتبارسنج نیاز به راهی برای سلب اعتماد پس از یک سازش دارد. وین پیام را امضا کرد، ما اینجا مشکل داریم، وین،

1:12 با هر کلید. موزیلا کنترل کلید را تأیید کرد، سپس به طور مستقل کلیدها را بازیابی کرد. پاسخ اضطراری با جمله ای شروع شد که به نظر می رسد کسی متوجه دود کردن چاپگر اداری شده است.

چه چیزی اثبات شده است و چه چیزی ناشناخته باقی مانده است؟

1:22 گزارش عمومی می گوید که کلیدها به اشتباه تولید شده و از گواهی ها، ایجاد شده در آوریل سال گذشته، قابل بازیابی بودند. سوء استفاده واقعی علیه نرم افزارهای دیگر هنوز ناشناخته است. مرجع امضای قابل بازیابی به اندازه کافی فوری است بدون یک لیست قربانی اختراع شده. یک محدودیت مهم در اینجا وجود دارد. گزارش هیچ ورودی شفافیت گواهی برای آن واسطه ها در آن دوره پیدا نکرد.

1:42 این می گوید مرورگرهایی که شفافیت را اعمال می کنند نمی توانستند از طریق این مسیر مورد حمله قرار گیرند. این بررسی اضافی مرورگر کمک می کند تا توضیح داده شود که چرا فقط عنوان اصلی تصویر را اغراق می کند. eMudhra به موزیلا گفت که حدود سی هزار گواهی نیاز به انتقال به یک زنجیره دیگر دارند. اینها خدمات فعال هستند که صاحبان آنها باید گواهی ها را در طول پاکسازی جایگزین کنند. در جایی، یک دعوتنامه تقویم به یک وابستگی تولید تبدیل شد.

چرا مرورگر و زمان اجرا با هم اختلاف دارند؟

2:03 فروشندگان مرورگر لیست های سیاه اضطراری را توزیع می کنند. گزارش اقدامات فایرفاکس و کروم را در جمعه ثبت می کند، به دنبال آن اپل و مایکروسافت. این مشتریان می توانند واسطه به خطر افتاده را رد کنند در حالی که ریشه آن را به رسمیت می شناسند. این قانون به طور جداگانه از بسته برنامه شما منتقل می شود. برخی از مشتریان یک زنجیره را در برابر ریشه های مورد اعتماد بررسی می کنند بدون اینکه اطلاعات ابطال اضطراری را مصرف کنند. مرجع می تواند یک ابطال را منتشر کند، و آن مشتری می تواند به پذیرش زنجیره ادامه دهد.

2:27 گذاشتن یک تابلو روی در زمانی بهتر کار می کند که بازدیدکننده تابلوها را بخواند. موزیلا می گوید برخی از پروفایل های اندروید نتوانستند لیست سیاه به روز شده را در هنگام راه اندازی اعمال کنند. یک رفع اشکال در Firefox 158.02 منتشر شد. پس مرورگر را هم به روز نگه دارید. این اعلامیه نمی تواند تلفن شما را فهرست کند. نگهدارنده ها می توانند یک لنگر اعتماد را حذف کنند وقتی مشتریان فاقد مسدودسازی محدودتر هستند. موضوع موزیلا عدم اعتماد اضطراری به ریشه emSign ECC، نسل سه را توضیح می دهد. حذف یک ریشه از فروشگاه اعتماد، زنجیره های متکی به

2:54 آن را مسدود می کند، حتی زمانی که کلید خصوصی خود ریشه هرگز به خطر نیفتاده باشد. آخرین نسخه certifi پایتون یک به روز رسانی پایین دستی است.

کدام به روز رسانی ها به Python و Node رسیدند؟

3:01 تعهد آن همچنین ریشه های emSign بدون تأثیر را پس از حذف قبلی باز می گرداند. حذف همه چیز با نام شرکت یک جایگزین بد برای بسته نگهداری شده است. شما می خواهید زنجیره خطرناک رد شود و مشتریان قانونی همچنان کار کنند. تاریخچه انتشار هر دو تصمیم را حفظ می کند. پاکسازی امنیتی وظیفه پر زرق و برق فوری بودن، دقیق بودن و مقصر شناخته شدن برای هر سرویسی است که در طول ناهار خراب می شود. نسخه Node 24.22.1 امروز با ریشه های به روز شده منتشر شد.

3:26 مشاوره شاخه خود و پیکربندی واقعی CA را بررسی کنید. یک بسته سفارشی می تواند تغییر دهد که کدام فروشگاه اعتماد را فرآیند استفاده می کند. در Tor، یک محقق دیروز گزارشی از 333 رله خروجی به خطر افتاده منتشر کرد.

هشدار کلید میزبان Tor چه چیزی را گرفت؟

3:36 رهگیری اوایل این ماه آغاز شد. رله ها چند روز بعد، قبل از رسیدن گزارش، علامت گذاری و خاموش شدند. SSH به محقق هشدار داد که هویت سرور تغییر کرده است. او آن را به تیم سلامت شبکه Tor گزارش داد. اطلاعیه اپراتور آنها گزارش های رهگیری را تأیید می کند. آن هشدار دقیقاً همان کار ناخوشایندی را انجام می داد که احراز هویت قرار است انجام دهد. تقریباً ده درصد رله ها را با ظرفیت های مختلف شمارش کرد،

3:57 و سهم ترافیک را اندازه گیری نکرد. مسیریابی Tor و هویت سرور SSH وظایف جداگانه ای دارند. یک کلید میزبان تغییر یافته را از طریق یک کانال مورد اعتماد تأیید کنید قبل از اینکه آن را بپذیرید و وارد شوید. در برنامه خود، با کانتینر در حال اجرا یا محیط مجازی شروع کنید. بسته CA را که واقعاً استفاده می کند پیدا کنید و به روز رسانی نگهداری شده مربوطه را اعمال کنید.

چگونه رفع اشکال مستقر شده را بررسی می کنید؟

4:12 فرآیند مستقر شده را بازسازی و راه اندازی مجدد کنید تا بتواند مواد اعتماد تغییر یافته را بارگذاری کند. از زنجیره های آزمایشی عمومی نگهدارنده ها در محیط واقعی مشتری استفاده کنید. خطای گواهی را از یک وقفه زمانی شبکه جدا کنید. یک اتصال ناموفق در وای فای هتل یک آزمایش عالی برای وای فای هتل است. وابستگی کوچک یک فروشگاه اعتماد جداگانه بسته بندی شده است، مانند certifi. مرورگر دسکتاپ شما هرگز آن وابستگی را در داخل یک کانتینر قدیمی ویرایش نمی کند. فرآیند مستقر شده و پیکربندی آن تصمیم می گیرد که آیا رفع اشکال رسیده است. این مکانی برای تأیید به روز رسانی شماست.

4:42 اگر ترجیح می دهید این را بخوانید تا بشنوید، diff هر روز صبح به صندوق ورودی شما می رسد، رایگان در the daily diff dot dev، لینک در زیر. بنابراین حکم امروز NEEDS REVIEW است.

چه چیزی مهر NEEDS REVIEW را دریافت می کند؟

4:51 من می خواهم اعتماد مشتری مستقر شده قبل از اینکه کسی این حادثه را ببندد، بررسی شود. مشترک شوید، زنگ را بزنید و در نظرات به من بگویید اگر شما آن را متفاوت مهر می زدید. و این diff امروز است. من نیکو از Axrisi هستم. با مسئولیت پذیری ادغام کنید. ادغام با مسئولیت.

منابع

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health