eMudhran välittäjän varmenteen kompromissi: selaimen mustat listat ja ajonaikainen luottamuskysymys

Mitä tämä video käsittelee

• Vaarantuneet avaimet kuuluvat välittäjän allekirjoittajille. Juuren epäluottamus voi lieventää ketjun ilman, että todistetaan, että juuren yksityinen avain vaarantui.
• Selaimen hätäblokkilista ja sovelluksen mukana toimitettu CA-varasto voivat seurata erillisiä päivityspolkuja. Tarkista käynnissä oleva prosessi ja sen todellinen luottamuskonfiguraatio.
• Mozilla vahvisti itsenäisesti palautettavat yksityiset avaimet. Raportissa ei kuvata CT-merkintöjä kyseisille välittäjille; todellinen väärinkäyttö muita asiakkaita vastaan on edelleen tuntematon.
• Ensisijaiset julkaisut vahvistavat certifi 2026.10.19 ja Node 24.22.1 käsitellyille haaroille. Mukautetut CA-paketit ja muut ajonaikaiset haarat tarvitsevat omat tarkistuksensa.
• Tor-tutkijan 333-releen tili koskee aiempaa lokakuun tapausta, joka julkaistiin 20. lokakuuta. Karkeasti kymmenen prosenttia on releiden määrä, ei siepatun liikenteen mittaus.
• Pelkkä verkkoviive ei osoita, että varmenteen validointi hylkäsi vaarantuneen ketjun. Säilytä varmennus ja erota siirtovirheet todennusvirheistä.

Käännetty transkriptio

Käännetty alkuperäisestä englanninkielisestä selostuksesta. Käytettävissä olevan äänen ja tekstitysten hallinta tapahtuu YouTuben kautta.

Miksi korjattu selain voi jättää sovelluksen alttiiksi?

0:00 eMudhra-selainkorjaus kuulostaa täysin selkeältä. Kahdeksan vaarantunutta allekirjoitusavainta jättää ohjelmiston edelleen vanhentuneisiin luottamuspäätöksiin. Kuka voi allekirjoittaa tässä videossa? Miksi asiakkaat ovat eri mieltä? Ja mikä päivitys todella saavuttaa sovelluksesi? Yksi pieni riippuvuus pitää oman luottamuslistansa. Palaamme prosessiin, joka päättää, saapuiko korjauksesi. On keskiviikko, lokakuun kahdeskymmeneskymmenesensimmäinen, ja tämä on The Daily Diff.

0:22 eMudhra on varmenneviranomainen. Se allekirjoittaa digitaalisia varmenteita, jotka auttavat ohjelmistoja todentamaan verkkosivustoja ja palveluita. Vaarantuneet avaimet sisältävät kuusi, joita käytettiin verkkoyhteyksiin, ja kaksi, joita käytettiin ohjelmiston allekirjoittamiseen. Välittäjä on delegoitu allekirjoittaja luotetun juuren alla. Perjantaina reportteri Wayne lähetti todisteet juuriohjelmille. Tiistaihin mennessä julkinen tapaussivu selitti puhdistusta. Tänään kehittäjät saavat selville, kuinka monta luottamuskopiota heidän täysin normaali sovelluksensa on kerännyt.

Mitä välittäjän avain valtuuttaa?

0:49 Tässä on tavallinen ketju. Sivusto esittää varmenteen, välittäjä allekirjoittaa sen, ja asiakkaasi seuraa ketjua juureen, johon se jo luottaa. Juuri on paikallinen lähtökohtasi. Joka hallitsee välittäjän yksityistä avainta, voi allekirjoittaa sillä valtuudella. Matemaattisesti pätevä allekirjoitus voi olla täysin epäluotettavan allekirjoittajan tekemä. Validointilaitteisto tarvitsee tavan vetää luottamus takaisin kompromissin jälkeen. Wayne allekirjoitti viestin, Meillä on ongelma täällä, Wayne,

1:12 kullakin avaimella. Mozilla varmisti avainten hallinnan ja sitten itsenäisesti palautti avaimet. Hätätilannekäyttö alkoi lauseella, joka kuulostaa siltä, että joku huomasi toimiston tulostimen savuavan.

Mitä on todistettu ja mikä on edelleen tuntematonta?

1:22 Julkinen raportti kertoo, että avaimet luotiin virheellisesti ja ne olivat palautettavissa varmenteista, jotka luotiin viime vuoden huhtikuussa. Todellinen väärinkäyttö muita ohjelmistoja vastaan on edelleen tuntematonta. Palautettavissa oleva allekirjoitusvaltuus on tarpeeksi kiireellinen ilman keksittyä uhrilistaa. Tässä on tärkeä rajoitus. Raportti ei löytänyt varmenteiden läpinäkyvyysmerkintöjä näille välittäjille kyseisellä ajanjaksolla.

1:42 Siinä sanotaan, että läpinäkyvyyttä valvovia selaimia ei olisi voitu hyökätä tätä kautta. Tämä ylimääräinen selainten tarkistus auttaa selittämään, miksi pelkkä otsikko liioittelee tilannetta. eMudhra kertoi Mozillalle, että noin kolmekymmentätuhatta varmennetta tarvitsi siirron toiseen ketjuun. Nämä ovat toimivia palveluita, joiden omistajien on vaihdettava varmenteet puhdistuksen aikana. Jossain, kalenterikutsu muuttui juuri tuotantoriippuvuudeksi.

Miksi selain ja ajonaikainen ympäristö ovat ristiriidassa?

2:03 Selaintoimittajat jakavat hätäblokkilistoja. Raportti kirjaa Firefoxin ja Chromen toimet perjantaina, jota seurasivat Apple ja Microsoft. Nämä asiakkaat voivat hylätä vaarantuneen välittäjän tunnustaen samalla sen juuren. Tämä sääntö kulkee erillään sovelluksesi paketista. Jotkut asiakkaat tarkistavat ketjun luotettuja juuria vasten kuluttamatta hätäperuutus tietoja. Viranomainen voi julkaista peruutuksen, ja asiakas voi jatkaa ketjun hyväksymistä.

2:27 Kyltin laittaminen oveen toimii paremmin, kun vierailija lukee kylttejä. Mozilla kertoo, että jotkut Android-profiilit eivät onnistuneet soveltamaan päivitettyä mustaa listaa käynnistyksen yhteydessä. Korjaus toimitettiin Firefox 158.02:ssa. Joten pidä myös selain ajan tasalla. Ilmoitus ei voi inventoida puhelintasi. Ylläpitäjät voivat poistaa luottamusankkurin, kun asiakkailla ei ole kapeampaa estämistä. Mozillan ketju kuvaa emSign ECC -juuren hätäepäluottamusta, sukupolvi kolme. Juuren poistaminen luottamusvarastosta estää siihen tukeutuvien ketjujen

2:54 käytön, vaikka juuren yksityistä avainta itsessään ei olisi koskaan vaarannettu. Pythonin uusin certifi-julkaisu on yksi jatkopäivitys.

Mitkä päivitykset saavuttivat Pythonin ja Noden?

3:01 Sen commit palauttaa myös koskemattomat emSign-juuret aikaisemman poiston jälkeen. Kaiken yrityksen nimellä olevan poistaminen on huono korvike ylläpidetylle paketille. Haluat vaarallisen ketjun hylätyksi ja lailliset asiakkaat edelleen toimimaan. Julkaisuhistoria säilyttää molemmat päätökset. Turvallisuuspuhdistuksessa on loistava tehtävä olla kiireellinen, tarkka ja syytetty kaikista palvelun rikkoontumisista lounaan aikana. Noden versio 24.22.1 julkaistiin tänään päivitetyillä

3:26 juurilla. Tarkista oman haarasi tiedote ja todellinen CA-määritys. Mukautettu paketti voi muuttaa, mitä luottamusvarastoa prosessi käyttää. Torissa tutkija julkaisi eilen selvityksen kolmestakymmenestäkolmesta

Mitä Torin isäntäavainvaroitus havaitsi?

3:36 vaarantuneesta poistumisreleestä. Sieppaus alkoi aiemmin tässä kuussa. Releet merkittiin ja sammutettiin päiviä myöhemmin, ennen kirjoituksen saapumista. SSH varoitti tutkijaa, että palvelimen identiteetti oli muuttunut. Hän ilmoitti siitä Torin verkon terveysryhmälle. Heidän operaattorin ilmoituksensa vahvistaa sieppausraportit. Tämä varoitus teki juuri sen epämukavan asian, jonka autentikoinnin on tarkoitus

3:57 tehdä. Noin kymmenen prosenttia laskettuja releitä eri kapasiteetilla, jättäen liikenteen osuuden mittaamattomaksi. Torin reitityksellä ja SSH-palvelimen identiteetillä on erilliset tehtävät. Varmista muuttunut isäntäavain luotetun kanavan kautta, ennen kuin hyväksyt sen ja kirjaudut sisään. Takaisin sovellukseesi, aloita käynnissä olevasta säiliöstä tai virtuaaliympäristöstä.

Miten tarkistat käyttöön otetun korjauksen?

4:12 Etsi CA-paketti, jota se todella käyttää, ja sovella asiaankuuluvaa ylläpidettyä päivitystä. Rakenna uudelleen ja käynnistä käyttöön otettu prosessi, jotta se voi ladata muuttuneen luottamuksen materiaalin. Käytä ylläpitäjien julkisia testiketjuja asiakkaan todellisessa ympäristössä. Pidä varmennevirhe erillään verkkoviasta. Epäonnistunut yhteys hotellin Wi-Fi:ssä on erinomainen testi hotellin Wi-Fi:stä. Pieni riippuvuus on erikseen paketoitu luottamusvarasto, kuten certifi. Työpöytäselaimesi ei koskaan muokkaa tätä riippuvuutta vanhan kontainerin sisällä. Käyttöön otettu prosessi ja sen konfiguraatio päättävät, saapuiko korjaus.

4:42 Se on paikka, jossa voit varmistaa päivityksesi. Jos haluat mieluummin lukea tämän kuin kuulla minun sanovan sen, diff saapuu sähköpostiisi joka aamu, ilmaiseksi osoitteessa the daily diff dot dev, linkki alla.

Mitä saa NEEDS REVIEW -leiman?

4:51 Joten tämän päivän tuomio on NEEDS REVIEW. Haluan käyttöön otetun asiakkaan luottamuksen tarkistetun, ennen kuin kukaan sulkee tämän tapauksen. Tilaa, paina kelloa ja kerro minulle kommenteissa, jos olisit leimannut sen eri tavalla. Ja se on päivän ero. Olen Niko Axrisista. Yhdistä vastuullisesti.

Lähteet

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health