eMudhra kompromitiranje posredničke CA: preglednici na crnim listama i jaz u povjerenju u runtime okruženju

Što ovaj video pokriva

• Kompromitirani ključevi pripadaju posredničkim potpisnicima. Nepovjerenje u root može ublažiti lanac bez dokazivanja da je root privatni ključ kompromitiran.
• Hitna crna lista preglednika i paketno pohranjeno CA spremište aplikacije mogu slijediti zasebne putanje ažuriranja. Provjerite pokrenuti proces i njegovu stvarnu konfiguraciju povjerenja.
• Mozilla je neovisno potvrdila oporavljive privatne ključeve. Izvješće ne opisuje unose CT-a za zahvaćene posrednike; stvarna zloupotreba protiv drugih klijenata ostaje nepoznata.
• Primarne verzije provjeravaju certifi 2026.10.19 i Node 24.22.1 za raspravljene grane. Prilagođeni CA paketi i druge runtime grane trebaju vlastite provjere.
• Izvješće Tor istraživača o 333 releja odnosi se na incident s početka listopada objavljen 20. listopada. Otprilike deset posto je broj releja, a ne mjerenje presretnutog prometa.
• Samo mrežni timeout ne dokazuje da je provjera certifikata odbila kompromitirani lanac. Sačuvajte provjeru i razlikujte pogreške u prijenosu od grešaka u provjeri autentičnosti.

Prevedeni transkript

Prevedeno iz izvornog engleskog pripovijedanja. Dostupni zvuk i titlovi kontroliraju se putem YouTubea.

Zašto fiksni preglednik može ostaviti aplikaciju izloženom?

0:00 eMudhra ispravka za preglednike zvuči kao da je sve riješeno. Osam kompromitiranih ključeva za potpisivanje i dalje ostavlja softver s zastarjelim odlukama o povjerenju. U ovom videu, tko može potpisivati? Zašto se klijenti ne slažu? I koje ažuriranje zapravo stiže do vaše aplikacije? Jedna sitna ovisnost čuva vlastiti popis povjerenja. Vratit ćemo se na proces koji odlučuje je li vaša ispravka stigla. Srijeda je, dvadeset prvi listopada, i ovo je The Daily Diff.

0:22 eMudhra je certifikacijsko tijelo. Potpisuje digitalne certifikate koji pomažu softveru da autentificira web stranice i usluge. Kompromitirani ključevi uključuju šest korištenih za web veze i dva za potpisivanje softvera. Posrednik je delegirani potpisnik ispod pouzdanog roota. U petak je reporter po imenu Wayne poslao dokaz root programima. Do utorka je javna stranica incidenta objašnjavala čišćenje. Danas programeri moraju otkriti koliko su kopija povjerenja njihove savršeno normalne aplikacije prikupile.

Što ovlašćuje posrednički ključ?

0:49 Ovdje je običan lanac. Stranica predstavlja certifikat, posrednik ga potpisuje, a vaš klijent slijedi lanac do roota kojem već vjeruje. Root je vaša lokalna početna točka. Tko god kontrolira privatni ključ posrednika može potpisivati pod tim autoritetom. Matematički valjan potpis može imati potpuno nepouzdanog potpisnika. Validator treba način da povuče povjerenje nakon kompromitacije. Wayne je potpisao poruku, Imamo problem ovdje, Wayne,

1:12 sa svakim ključem. Mozilla je provjerila kontrolu ključeva, a zatim neovisno oporavila ključeve. Hitna reakcija započela je rečenicom koja zvuči kao da je netko primijetio da uredski pisač dimi.

Što je dokazano, a što ostaje nepoznato?

1:22 Javno izvješće kaže da su ključevi generirani neispravno i da ih se može oporaviti iz certifikata, kreiranih u travnju prošle godine. Stvarna zloupotreba protiv drugog softvera još je nepoznata. Oporavljiva ovlast za potpisivanje dovoljno je hitna i bez izmišljenog popisa žrtava. Ovdje postoji važno ograničenje. Izvješće nije pronašlo unos o transparentnosti certifikata za te posrednike tijekom tog razdoblja.

1:42 Kaže se da preglednici koji provode transparentnost nisu mogli biti napadnuti putem ove rute. Ta dodatna provjera preglednika pomaže objasniti zašto sam naslov preuveličava sliku. eMudhra je rekla Mozilli da je oko trideset tisuća certifikata trebalo migrirati na drugi lanac. To su radne usluge čiji vlasnici moraju zamijeniti certifikate tijekom čišćenja. Negdje je poziv u kalendaru upravo postao ovisnost o produkciji.

Zašto se preglednik i runtime ne slažu?

2:03 Dobavljači preglednika distribuiraju hitne crne liste. Izvješće bilježi akciju Firefoxa i Chromea u petak, nakon čega slijede Apple i Microsoft. Ovi klijenti mogu odbiti kompromitirani posrednik dok prepoznaju njegov root. To se pravilo prenosi zasebno od paketa vaše aplikacije. Neki klijenti provjeravaju lanac u odnosu na pouzdane rootove bez konzumiranja hitnih informacija o opozivu. Ovlast može objaviti opoziv, a taj klijent može nastaviti prihvaćati lanac.

2:27 Postavljanje natpisa na vrata bolje funkcionira kada posjetitelj čita natpise. Mozilla kaže da neki Android profili nisu uspjeli primijeniti ažuriranu crnu listu pri pokretanju. Ispravak je isporučen u Firefoxu jedan pedeset osam točka nula dva. Zato i preglednik držite ažurnim. Objava ne može popisati vaš telefon. Održavatelji mogu ukloniti sidro povjerenja kada klijenti nemaju uža blokiranja. Mozillina tema opisuje hitno nepovjerenje u emSign ECC root, treća generacija. Uklanjanje roota iz spremišta povjerenja blokira lance koji se oslanjaju na

2:54 njega, čak i kada privatni ključ samog roota nikada nije bio kompromitiran. Najnovija certifi verzija Pythona je jedno naknadno ažuriranje.

Koja su ažuriranja stigla do Pythona i Nodea?

3:01 Njegov commit također vraća nepromijenjene emSign rootove nakon prethodnog uklanjanja. Brisanje svega što nosi ime tvrtke loša je zamjena za održavani paket. Želite da se opasni lanac odbije i da legitimni korisnici i dalje rade. Povijest izdanja čuva obje odluke. Sigurnosno čišćenje ima glamurozan posao da bude hitno, precizno i krivo za svaku uslugu koja se pokvari tijekom ručka. Nodeova verzija dvadeset četiri točka dvadeset dva točka jedan isporučena je danas s ažuriranim

3:26 rootovima. Provjerite savjetnik svoje grane i stvarnu CA konfiguraciju. Prilagođeni paket može promijeniti koje spremište povjerenja proces koristi. U Toru je istraživač jučer objavio izvješće o tri stotine trideset i

Što je uhvatilo Tor upozorenje za ključ hosta?

3:36 tri kompromitirana izlazna releja. Presretanje je počelo početkom ovog mjeseca. Releji su označeni i isključeni nekoliko dana kasnije, prije nego što je izvješće stiglo. SSH je upozorio istraživača da se identitet poslužitelja promijenio. Prijavio je to Torovom timu za mrežnu sigurnost. Njihova obavijest operatorima potvrđuje izvješća o presretanju. To je upozorenje radilo točno neugodnu stvar koju bi autentifikacija trebala

3:57 raditi. Otprilike deset posto izbrojano je releja različitih kapaciteta, ostavljajući udio prometa neizmjerenim. Tor usmjeravanje i SSH identitet poslužitelja imaju zasebne poslove. Provjerite promijenjeni ključ hosta putem pouzdanog kanala prije nego što ga prihvatite i prijavite se. Natrag u vašoj aplikaciji, počnite s pokrenutim spremnikom ili virtualnim okruženjem.

Kako provjeriti implementiranu ispravku?

4:12 Pronađite CA paket koji stvarno koristi i primijenite relevantno održavano ažuriranje. Ponovno izgradite i ponovno pokrenite implementirani proces kako bi mogao učitati promijenjeni materijal povjerenja. Koristite javne testne lance održavatelja u stvarnom okruženju klijenta. Držite pogrešku certifikata odvojenu od mrežnog timeouta. Neuspjela veza na hotelskom Wi-Fi-ju izvrstan je test hotelskog Wi-Fi-ja. Sitna ovisnost je zasebno pakirano spremište povjerenja, poput certifi. Vaš stolni preglednik nikada ne uređuje tu ovisnost unutar starog spremnika. Implementirani proces i njegova konfiguracija odlučuju je li ispravak

4:42 stigao. To je mjesto za provjeru vašeg ažuriranja. Ako ovo radije čitate nego slušate mene kako to govorim, diff stiže u vašu pristiglu poštu svako jutro, besplatno na the daily diff dot dev, link ispod.

Što dobiva pečat POTREBAN PREGLED?

4:51 Dakle, današnja presuda je POTREBAN PREGLED. Želim da se provjeri povjerenje implementiranog klijenta prije nego što itko zatvori ovaj incident. Pretplatite se, kliknite zvono i recite mi u komentarima biste li to označili drugačije. I to je diff za danas. Ja sam Niko iz Axrisija. Spajajte odgovorno.

Izvori

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health