ईमुद्रा इंटरमीडिएट सीए समझौता: ब्राउज़र ब्लॉकलिस्ट और रनटाइम ट्रस्ट गैप

इस वीडियो में क्या शामिल है

• समझौता की गई कुंजियाँ इंटरमीडिएट हस्ताक्षरकर्ताओं से संबंधित हैं। रूट का अविश्वास किसी चेन को कम कर सकता है, यह साबित किए बिना कि रूट की निजी कुंजी से समझौता किया गया था।
• एक ब्राउज़र की आपातकालीन ब्लॉकलिस्ट और एक एप्लिकेशन का बंडल किया गया सीए स्टोर अलग-अलग अपडेट पथों का पालन कर सकता है। चल रही प्रक्रिया और उसके वास्तविक ट्रस्ट कॉन्फ़िगरेशन की जाँच करें।
• मोज़िला ने स्वतंत्र रूप से पुनर्प्राप्त करने योग्य निजी कुंजियों की पुष्टि की। रिपोर्ट में प्रभावित इंटरमीडिएट के लिए कोई सीटी प्रविष्टियाँ वर्णित नहीं हैं; अन्य क्लाइंट के खिलाफ वास्तविक दुरुपयोग अज्ञात रहता है।
• प्राथमिक रिलीज़ certifi 2026.10.19 और Node 24.22.1 को चर्चा की गई शाखाओं के लिए सत्यापित करते हैं। कस्टम सीए बंडल और अन्य रनटाइम शाखाओं को अपनी स्वयं की जाँच की आवश्यकता है।
• टोर शोधकर्ता का 333-रिले खाता अक्टूबर के शुरू की एक घटना से संबंधित है जिसे 20 अक्टूबर को प्रकाशित किया गया था। लगभग दस प्रतिशत रिले गिनती है, न कि इंटरसेप्टेड-ट्रैफ़िक माप।
• अकेले नेटवर्क टाइमआउट यह स्थापित नहीं करता है कि प्रमाणपत्र सत्यापन ने एक समझौता की गई चेन को अस्वीकार कर दिया। सत्यापन को संरक्षित करें और प्रमाणीकरण विफलताओं से परिवहन त्रुटियों को अलग करें।

अनुवादित प्रतिलेख

मूल अंग्रेजी कथन से अनुवादित। उपलब्ध ऑडियो और कैप्शन YouTube द्वारा नियंत्रित होते हैं।

एक फिक्स्ड ब्राउज़र ऐप को क्यों उजागर कर सकता है?

0:00 eMudhra ब्राउज़र फिक्स एक ऑल-क्लियर की तरह लगता है। आठ समझौता की गई हस्ताक्षर कुंजियाँ अभी भी सॉफ्टवेयर को बासी विश्वास निर्णयों के साथ छोड़ देती हैं। इस वीडियो में, कौन साइन कर सकता है? क्लाइंट क्यों असहमत हैं? और कौन सा अपडेट वास्तव में आपके ऐप तक पहुँचता है? एक छोटी सी निर्भरता अपनी खुद की ट्रस्ट सूची रखती है। हम उस प्रक्रिया पर वापस आएंगे जो तय करती है कि आपका फिक्स आया या नहीं। यह बुधवार, इक्कीस अक्टूबर है, और यह द डेली डिफ है।

0:22 eMudhra एक प्रमाण पत्र प्राधिकरण है। यह डिजिटल प्रमाण पत्रों पर हस्ताक्षर करता है जो सॉफ्टवेयर को वेबसाइटों और सेवाओं को प्रमाणित करने में मदद करते हैं। समझौता की गई कुंजियों में वेब कनेक्शन के लिए इस्तेमाल की जाने वाली छह और सॉफ्टवेयर पर हस्ताक्षर करने के लिए दो शामिल हैं। एक इंटरमीडिएट एक विश्वसनीय रूट के नीचे एक डेलिगेटेड हस्ताक्षरकर्ता होता है। शुक्रवार को, वेन नामक एक रिपोर्टर ने रूट प्रोग्राम को सबूत भेजा। मंगलवार तक, सार्वजनिक घटना पृष्ठ सफाई की व्याख्या कर रहा था। आज, डेवलपर्स यह पता लगाते हैं कि उनके पूरी तरह से सामान्य एप्लिकेशन ने कितने विश्वास की प्रतियाँ एकत्र की हैं।

एक इंटरमीडिएट कुंजी क्या अधिकृत करती है?

0:49 यहां सामान्य श्रृंखला है। एक साइट एक प्रमाण पत्र प्रस्तुत करती है, एक इंटरमीडिएट उस पर हस्ताक्षर करता है, और आपका क्लाइंट एक ऐसे रूट तक श्रृंखला का अनुसरण करता है जिस पर वह पहले से ही भरोसा करता है। रूट आपका स्थानीय शुरुआती बिंदु है। जो कोई भी इंटरमीडिएट की निजी कुंजी को नियंत्रित करता है वह उस प्राधिकरण के तहत हस्ताक्षर कर सकता है। एक गणितीय रूप से मान्य हस्ताक्षर में एक पूरी तरह से अविश्वसनीय हस्ताक्षरकर्ता हो सकता है। समझौता के बाद सत्यापनकर्ता को विश्वास वापस लेने का एक तरीका चाहिए। वेन ने संदेश पर हस्ताक्षर किए, हमें यहां एक समस्या है, वेन,

1:12 प्रत्येक कुंजी के साथ। मोज़िला ने कुंजी नियंत्रण को सत्यापित किया, फिर स्वतंत्र रूप से कुंजियों को पुनर्प्राप्त किया। आपातकालीन प्रतिक्रिया एक वाक्य के साथ शुरू हुई जो ऐसा लगता है कि किसी ने कार्यालय प्रिंटर को धुआं छोड़ते हुए देखा था।

क्या साबित हुआ है, और क्या अज्ञात रहता है?

1:22 सार्वजनिक रिपोर्ट में कहा गया है कि कुंजियाँ गलत तरीके से उत्पन्न की गई थीं और पिछले साल अप्रैल में बनाए गए प्रमाण पत्रों से पुनर्प्राप्त करने योग्य थीं। अन्य सॉफ्टवेयर के खिलाफ वास्तविक दुरुपयोग अभी भी अज्ञात है। पुनर्प्राप्त करने योग्य हस्ताक्षर प्राधिकरण बिना किसी आविष्कार की गई पीड़ित सूची के पर्याप्त तत्काल है। यहां एक महत्वपूर्ण सीमा है। रिपोर्ट में उन इंटरमीडिएट के लिए प्रमाण पत्र पारदर्शिता प्रविष्टियाँ नहीं मिलीं उस अवधि के दौरान।

1:42 इसमें कहा गया है कि पारदर्शिता लागू करने वाले ब्राउज़र को इस मार्ग से हमला नहीं किया जा सकता था। वह अतिरिक्त ब्राउज़र जाँच यह समझाने में मदद करती है कि शीर्षक ही तस्वीर को क्यों अतिरंजित करता है। eMudhra ने मोज़िला को बताया कि लगभग तीस हजार प्रमाण पत्रों को एक और श्रृंखला में स्थानांतरित करने की आवश्यकता है। वे काम कर रही सेवाएँ हैं जिनके मालिकों को सफाई के दौरान प्रमाण पत्रों को बदलना होगा। कहीं, एक कैलेंडर आमंत्रण अभी एक उत्पादन निर्भरता बन गया है।

ब्राउज़र और रनटाइम क्यों असहमत हैं?

2:03 ब्राउज़र विक्रेता आपातकालीन ब्लॉकलिस्ट वितरित करते हैं। रिपोर्ट में शुक्रवार को फ़ायरफ़ॉक्स और क्रोम कार्रवाई दर्ज की गई है, उसके बाद Apple और Microsoft। ये क्लाइंट समझौता किए गए इंटरमीडिएट को अस्वीकार कर सकते हैं जबकि उसके रूट को पहचानते हैं। वह नियम आपके एप्लिकेशन के बंडल से अलग यात्रा करता है। कुछ क्लाइंट आपातकालीन रद्दकरण जानकारी का उपभोग किए बिना विश्वसनीय रूट के खिलाफ एक श्रृंखला की जांच करते हैं। प्राधिकरण एक रद्दकरण प्रकाशित कर सकता है, और वह क्लाइंट श्रृंखला को स्वीकार करना जारी रख सकता है।

2:27 दरवाजे पर एक चिन्ह लगाना तब बेहतर काम करता है जब आगंतुक संकेत पढ़ता है। मोज़िला का कहना है कि कुछ Android प्रोफाइल स्टार्टअप पर अपडेटेड ब्लॉकलिस्ट को लागू करने में विफल रहे। फ़ायरफ़ॉक्स एक सौ अट्ठाईस दशमलव शून्य दो में एक फिक्स भेजा गया था। तो ब्राउज़र को भी वर्तमान रखें। घोषणा आपके फोन की सूची नहीं बना सकती। रखरखावकर्ता एक ट्रस्ट एंकर को हटा सकते हैं जब क्लाइंट में संकीर्ण ब्लॉकिंग की कमी होती है। मोज़िला का थ्रेड emSign ECC रूट, जेनरेशन तीन के आपातकालीन अविश्वास का वर्णन करता है। एक ट्रस्ट स्टोर से एक रूट को हटाने से उस पर निर्भर श्रृंखलाओं को अवरुद्ध कर दिया जाता है,

2:54 भले ही रूट की निजी कुंजी से कभी समझौता नहीं किया गया हो। Python की नवीनतम certifi रिलीज़ एक डाउनस्ट्रीम अपडेट है।

कौन से अपडेट Python और Node तक पहुंचे?

3:01 इसका कमिट पहले हटाने के बाद अप्रभावित emSign रूट को भी पुनर्स्थापित करता है। कंपनी के नाम वाली हर चीज को हटाना एक बनाए गए पैकेज के लिए एक घटिया विकल्प है। आप चाहते हैं कि खतरनाक श्रृंखला अस्वीकृत हो जाए और वैध ग्राहक अभी भी काम कर रहे हों। रिलीज़ इतिहास दोनों निर्णयों को संरक्षित करता है। सुरक्षा सफाई का ग्लैमरस काम तत्काल होना है, सटीक होना, और दोपहर के भोजन के दौरान जो भी सेवा टूटती है उसके लिए दोषी ठहराया जाना। Node का संस्करण चौबीस दशमलव बाईस दशमलव एक आज अपडेटेड

3:26 रूट के साथ भेजा गया है। अपनी खुद की शाखा के सलाहकार और वास्तविक सीए कॉन्फ़िगरेशन की जाँच करें। एक कस्टम बंडल यह बदल सकता है कि प्रक्रिया कौन सा ट्रस्ट स्टोर उपयोग करती है। Tor में, एक शोधकर्ता ने कल तीन सौ तैंतीस

Tor होस्ट-की चेतावनी ने क्या पकड़ा?

3:36 समझौता किए गए एग्जिट रिले का एक खाता प्रकाशित किया। यह अवरोधन इस महीने की शुरुआत में शुरू हुआ। रिले को झंडी दिखाकर बंद कर दिया गया था, राइट-अप आने से कुछ दिन पहले। SSH ने शोधकर्ता को चेतावनी दी कि सर्वर की पहचान बदल गई थी। उन्होंने इसे Tor की नेटवर्क स्वास्थ्य टीम को रिपोर्ट किया। उनकी ऑपरेटर नोटिस अवरोधन की रिपोर्ट की पुष्टि करती है। वह चेतावनी बिल्कुल असुविधाजनक काम कर रही थी जो प्रमाणीकरण को

3:57 करना चाहिए। लगभग दस प्रतिशत ने विभिन्न क्षमताओं के साथ रिले गिने, ट्रैफ़िक हिस्से को बिना मापे छोड़ दिया। Tor रूटिंग और SSH सर्वर पहचान के अलग-अलग काम हैं। एक बदले हुए होस्ट कुंजी को एक विश्वसनीय चैनल के माध्यम से सत्यापित करें इससे पहले कि आप इसे स्वीकार करें और लॉग इन करें। अपने ऐप में वापस, चल रहे कंटेनर या वर्चुअल वातावरण से शुरू करें।

आप डिप्लॉयड फिक्स की जांच कैसे करते हैं?

4:12 उस सीए बंडल को ढूंढें जिसे वह वास्तव में उपयोग करता है और प्रासंगिक बनाए गए अपडेट को लागू करें। डिप्लॉयड प्रक्रिया को फिर से बनाएं और पुनरारंभ करें ताकि वह बदले हुए विश्वास सामग्री को लोड कर सके। क्लाइंट के वास्तविक वातावरण में रखरखावकर्ताओं के सार्वजनिक परीक्षण श्रृंखलाओं का उपयोग करें। प्रमाणपत्र त्रुटि को नेटवर्क टाइमआउट से अलग रखें। होटल वाई-फाई पर एक विफल कनेक्शन होटल वाई-फाई का एक उत्कृष्ट परीक्षण है। छोटी निर्भरता एक अलग से बंडल किया गया ट्रस्ट स्टोर है, जैसे certifi। आपका डेस्कटॉप ब्राउज़र कभी भी एक पुराने कंटेनर के अंदर उस निर्भरता को संपादित नहीं करता है। डिप्लॉयड प्रक्रिया और उसका कॉन्फ़िगरेशन यह तय करता है कि फिक्स

4:42 आया या नहीं। वह जगह है जहां आपको अपने अपडेट को सत्यापित करना है। अगर आप इसे सुनने के बजाय पढ़ना पसंद करते हैं, तो डिफ हर सुबह आपके इनबॉक्स में आता है, daily diff dot dev पर मुफ्त, लिंक नीचे।

किसको NEEDS REVIEW का स्टैम्प मिलता है?

4:51 तो आज का फैसला NEEDS REVIEW है। मैं चाहता हूं कि इस घटना को बंद करने से पहले डिप्लॉयड क्लाइंट के विश्वास की जांच की जाए। सदस्यता लें, घंटी दबाएं, और मुझे टिप्पणियों में बताएं कि क्या आपने इसे अलग तरह से स्टैम्प किया होता। और आज के लिए यही डिफ है। मैं Axrisi से Niko हूं। जिम्मेदारी से मर्ज करें।

स्रोत

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health