פריצת CA ביניים של eMudhra: רשימות חסימה של דפדפנים ופער האמון בזמן ריצה

מה מכסה הסרטון הזה

• המפתחות שנפרצו שייכים לחותמי ביניים. חוסר אמון בשורש יכול למתן שרשרת מבלי להוכיח שמפתח השורש הפרטי נפרץ.
• רשימת חסימה חירום של דפדפן וחנות CA מובנית של יישום יכולות לעקוב אחר נתיבי עדכון נפרדים. בדוק את התהליך הפועל ואת תצורת האמון בפועל שלו.
• מוזילה אישרה באופן עצמאי מפתחות פרטיים הניתנים לשחזור. הדוח אינו מתאר רשומות CT עבור המתווכים המושפעים; שימוש לרעה בפועל נגד לקוחות אחרים נותר בלתי ידוע.
• גרסאות ראשיות מאמתות את certifi 2026.10.19 ו-Node 24.22.1 עבור הענפים שנדונו. חבילות CA מותאמות אישית וענפי זמן ריצה אחרים זקוקים לבדיקות משלהם.
• חשבון 333 הריליי של חוקר Tor מתייחס לאירוע מוקדם יותר באוקטובר שפורסם ב-20 באוקטובר. כעשרה אחוזים הוא ספירת ריליי, לא מדידת תעבורה שייורטה.
• פסק זמן רשת בלבד אינו קובע שאימות אישורים דחה שרשרת פרוצה. שמור על אימות והבחין בין שגיאות תעבורה לכשלים באימות.

תמליל מתורגם

תורגם מהקריינות המקורית באנגלית. זמינות אודיו וכתוביות נשלטת על ידי YouTube.

מדוע דפדפן מתוקן יכול להשאיר אפליקציה חשופה?

0:00 התיקון של eMudhra בדפדפן נשמע כמו אישור כללי. שמונה מפתחות חתימה פרוצים עדיין משאירים תוכנות עם החלטות אמון מיושנות. בסרטון הזה, מי יכול לחתום? מדוע לקוחות לא מסכימים? ואיזה עדכון מגיע בפועל לאפליקציה שלך? תלות קטנה אחת שומרת על רשימת האמון שלה. נחזור לתהליך שמחליט אם התיקון שלך הגיע. יום רביעי, עשרים ואחד באוקטובר, וזהו ה-Daily Diff.

0:22 eMudhra היא רשות אישורים. היא חותמת על אישורים דיגיטליים שעוזרים לתוכנה לאמת אתרים ו- שירותים. המפתחות שנפרצו כוללים שישה ששימשו לחיבורי אינטרנט ושניים ל- חתימת תוכנה. מתווך הוא חותם מואצל מתחת לשורש מהימן. ביום שישי, כתב בשם וויין שלח הוכחה לתוכניות השורש. עד יום שלישי, דף האירועים הציבורי הסביר את הניקיון. היום, מפתחים מגלים כמה עותקים של אמון האפליקציה ה- נורמלית לחלוטין שלהם אספה.

מה מאשר מפתח ביניים?

0:49 הנה השרשרת הרגילה. אתר מציג אישור, מתווך חותם עליו, והלקוח שלך עוקב אחר השרשרת לשורש שהוא כבר סומך עליו. השורש הוא נקודת ההתחלה המקומית שלך. מי ששולט במפתח הפרטי של המתווך יכול לחתום תחת סמכות זו. חתימה תקפה מתמטית יכולה להיות בעלת חותם לא אמין לחלוטין. המאמת זקוק לדרך לבטל אמון לאחר פריצה. וויין חתם על ההודעה, יש לנו בעיה כאן, וויין,

1:12 עם כל מפתח. מוזילה אימתה שליטה במפתח, ולאחר מכן שחזרה באופן עצמאי את המפתחות. התגובה לשעת חירום החלה במשפט שנשמע כאילו מישהו שם לב שהמדפסת במשרד מעשנת.

מה הוכח, ומה נשאר לא ידוע?

1:22 הדוח הציבורי אומר שהמפתחות נוצרו באופן שגוי וניתנים לשחזור מ- האישורים, שנוצרו באפריל בשנה שעברה. שימוש לרעה בפועל נגד תוכנות אחרות עדיין לא ידוע. סמכות חתימה ניתנת לשחזור דחופה מספיק ללא רשימת קורבנות מומצאת. יש כאן מגבלה חשובה. הדוח לא מצא רשומות שקיפות אישורים עבור המתווכים האלה במהלך אותה תקופה.

1:42 הוא אומר שדפדפנים שאוכפים שקיפות לא יכלו להיפגע דרך נתיב זה. בדיקת הדפדפן הנוספת הזו עוזרת להסביר מדוע הכותרת לבדה מפריזה בתמונה. eMudhra אמרה למוזילה שכ-שלושים אלף אישורים נזקקו להעברה ל- שרשרת אחרת. אלה שירותים פועלים שבעליהם חייבים להחליף אישורים במהלך הניקיון. איפשהו, הזמנה ליומן הפכה זה עתה לתלות ייצור.

מדוע הדפדפן וסביבת הריצה לא מסכימים?

2:03 ספקי דפדפנים מפיצים רשימות חסימה חירום. הדוח מתעד פעולת פיירפוקס וכרום ביום שישי, ואחריהם אפל ומיקרוסופט. לקוחות אלה יכולים לדחות את המתווך שנפרץ תוך כדי זיהוי ה- שורש שלו. כלל זה עובר בנפרד מחבילת האפליקציה שלך. חלק מהלקוחות בודקים שרשרת מול שורשים מהימנים מבלי לצרוך מידע ביטול חירום. הרשות יכולה לפרסם ביטול, והלקוח הזה יכול להמשיך לקבל את השרשרת.

2:27 הצבת שלט על הדלת עובדת טוב יותר כאשר המבקר קורא שלטים. מוזילה אומרת שחלק מפרופילי אנדרואיד לא הצליחו להחיל את רשימת החסימה המעודכנת ב- ההפעלה. תיקון נשלח בפיירפוקס אחד חמש שמונה נקודה אפס שתיים. אז שמור גם על הדפדפן מעודכן. ההודעה אינה יכולה למלא את המלאי בטלפון שלך. מנהלים יכולים להסיר עוגן אמון כאשר ללקוחות חסמה צרה יותר. השרשור של מוזילה מתאר חוסר אמון חירום בשורש emSign ECC, דור שלישי. הסרת שורש מחנות אמון חוסמת שרשרות המסתמכות עליו,

2:54 גם כאשר המפתח הפרטי של השורש עצמו מעולם לא נפרץ. הגרסה האחרונה של certifi של פייתון היא עדכון אחד במורד הזרם.

אילו עדכונים הגיעו לפייתון ול-Node?

3:01 הקומיט שלה גם משחזר שורשי emSign שלא נפגעו לאחר הסרה מוקדמת יותר. מחיקת כל דבר הנושא את שם החברה היא תחליף עלוב ל- חבילה מתוחזקת. אתה רוצה שהשרשרת המסוכנת תידחה ו- לקוחות לגיטימיים עדיין עובדים. היסטוריית הגרסאות שומרת על שתי ההחלטות. לניקיון אבטחה יש את העבודה הזוהרת של להיות דחוף, מדויק, ולהיות מואשם בכל שירות שנשבר במהלך ארוחת הצהריים. גרסת Node עשרים וארבע נקודה עשרים ושתיים נקודה אחד נשלחה היום עם

3:26 שורשים מעודכנים. בדוק את ההודעה ואת תצורת ה-CA בפועל של הענף שלך. חבילה מותאמת אישית יכולה לשנות באיזו חנות אמון התהליך משתמש. בטור, חוקר פרסם אתמול חשבון של שלוש מאות שלושים

מה תפסה אזהרת מפתח המארח של Tor?

3:36 ושלושה ממסרי יציאה שנפרצו. היירוט החל מוקדם יותר החודש. הממסרים סומנו ונסגרו ימים לאחר מכן, לפני שהגיע התיאור. SSH הזהיר את החוקר שזהות השרת השתנתה. הוא דיווח על כך לצוות בריאות הרשת של Tor. הודעת המפעיל שלהם מאשרת דיווחים על יירוט. האזהרה הזו עשתה בדיוק את הדבר הלא נוח שאותנטיקציה אמורה

3:57 לעשות. כעשרה אחוזים ספרנו ממסרים עם יכולות שונות, והותירה את נתח התעבורה ללא מדידה. לניתוב Tor וזהות שרת SSH יש תפקידים נפרדים. אמת מפתח מארח שונה דרך ערוץ מהימן לפני שאתה מקבל אותו ומתחבר. בחזרה לאפליקציה שלך, התחל עם הקונטיינר הפועל או הסביבה הוירטואלית.

איך בודקים את התיקון שהופעל?

4:12 מצא את חבילת ה-CA שבה היא משתמשת בפועל והחל את העדכון המתוחזק הרלוונטי. בנה מחדש והפעל מחדש את התהליך הפרוס כדי שיוכל לטעון את חומר האמון ששונה. השתמש בשרשרות הבדיקה הציבוריות של המנהלים בסביבת הלקוח האמיתית. שמור את שגיאת האישור בנפרד מפסק זמן רשת. חיבור כושל ב-Wi-Fi של מלון הוא בדיקה מצוינת של ה-Wi-Fi של המלון. התלות הקטנה היא חנות אמון שקיימת בנפרד, כמו certifi. דפדפן שולחן העבודה שלך לעולם לא עורך את התלות הזו בתוך קונטיינר ישן. התהליך הפרוס והתצורה שלו קובעים אם התיקון

4:42 הגיע. זה המקום לאמת את העדכון שלך. אם אתה מעדיף לקרוא את זה מאשר לשמוע אותי אומר את זה, הדיף נוחת בתיבת הדואר הנכנס שלך כל בוקר, בחינם ב-thedailydiff.dev, קישור למטה.

מה מקבל את חותמת NEEDS REVIEW?

4:51 אז פסק הדין של היום הוא NEEDS REVIEW. אני רוצה שבדיקת האמון של הלקוח הפרוס תיבדק לפני שמישהו סוגר את האירוע הזה. הירשם, לחץ על הפעמון, וספר לי בתגובות אם היית חותם על זה אחרת. וזה הדיף להיום. אני ניקו מ-Axrisi. מזג באחריות.

מקורות

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health