# eMudhra köztes CA kompromittáció: böngésző feketelisták és a futásidejű bizalmi rés

Published: 2026-10-21

Nyolc eMudhra köztes aláíró kulcs kompromittálódott, ebből hat TLS-hez, kettő pedig kódaláíráshoz használt. Az eset a Mozilla megerősítését, a böngészőblokkolást és a downstream frissítéseket követi, hogy elmagyarázza, miért kell ellenőrizni egy telepített alkalmazás saját bizalmi konfigurációját. Egy külön Tor jelentés azt mutatja, hogy egy SSH gazda-azonossági figyelmeztetés elvégezte a dolgát.

Canonical: https://thedailydiff.dev/hu/video/2026-10-21-emudhra-trust-gap/

## Amit ez a videó tartalmaz

- A kompromittált kulcsok köztes aláírókhoz tartoznak. A root bizalmatlansága enyhítheti a láncot anélkül, hogy bizonyítaná, hogy a root privát kulcsa kompromittálódott.
- A böngésző sürgősségi feketelistája és az alkalmazásba csomagolt CA-tár külön frissítési útvonalakat követhet. Ellenőrizze a futó folyamatot és annak tényleges bizalmi konfigurációját.
- A Mozilla függetlenül megerősítette a visszaállítható privát kulcsokat. A jelentés nem ír le CT bejegyzéseket az érintett köztes elemekre; az egyéb kliensek elleni tényleges visszaélés továbbra is ismeretlen.
- Az elsődleges kiadások ellenőrzik a certifi 2026.10.19 és Node 24.22.1 verziókat a tárgyalt ágakhoz. Az egyedi CA kötegek és egyéb futásidejű ágak saját ellenőrzéseket igényelnek.
- A Tor kutató 333 relés fiókja egy korábbi, októberi esettel kapcsolatos, amelyet október 20-án publikáltak. Körülbelül tíz százalék a relék száma, nem pedig lehallgatott forgalom mérés.
- Önmagában egy hálózati időtúllépés nem bizonyítja, hogy a tanúsítvány érvényesítése elutasított egy kompromittált láncot. Őrizze meg az ellenőrzést, és különböztessen meg a szállítási hibákat a hitelesítési hibáktól.

## Fejezetek

- 0:00 Miért hagyhat egy javított böngésző egy alkalmazást sebezhetően?
- 0:49 Mire jogosít fel egy köztes kulcs?
- 1:22 Mi bizonyított, és mi marad ismeretlen?
- 2:03 Miért nem ért egyet a böngésző és a futásidejű környezet?
- 2:58 Mely frissítések érték el a Pythont és a Node-ot?
- 3:33 Mit fogott az Tor gazda-kulcs figyelmeztetés?
- 4:10 Hogyan ellenőrzi a telepített javítást?
- 4:51 Mi kapja meg a NEEDS REVIEW (felülvizsgálat szükséges) bélyeget?

## Lefordított átirat

Az eredeti angol narrációból fordítva. A rendelkezésre álló hangot és feliratokat a YouTube vezérli.

### Miért hagyhat egy javított böngésző egy alkalmazást sebezhetően?

0:00 Az eMudhra böngészőjavítás teljesen tisztának tűnik. Nyolc kompromittált aláíró kulcs továbbra is elavult bizalmi döntéseket hagy a szoftverben. Ebben a videóban ki írhat alá? Miért nem értenek egyet a kliensek? És melyik frissítés éri el valójában az alkalmazását? Egy apró függőség saját bizalmi listát tart fenn. Visszatérünk arra a folyamatra, amely eldönti, hogy megérkezett-e a javítás. Szerda van, október huszonegyedike, és ez a The Daily Diff.

0:22 Az eMudhra egy tanúsító hatóság. Digitális tanúsítványokat ír alá, amelyek segítenek a szoftvereknek hitelesíteni a weboldalakat és szolgáltatásokat. A kompromittált kulcsok között hat webes kapcsolathoz, kettő pedig szoftveraláíráshoz használt kulcs található. Egy köztes kulcs egy megbízható gyökér alatt delegált aláíró. Pénteken egy riporter, Wayne, bizonyítékot küldött a gyökérprogramoknak. Keddre a nyilvános incidensoldal magyarázta a takarítást. Ma a fejlesztők felfedezhetik, hány bizalmi másolatot gyűjtött össze a tökéletesen normális alkalmazásuk.

### Mire jogosít fel egy köztes kulcs?

0:49 Itt van a szokásos lánc. Egy webhely bemutat egy tanúsítványt, egy köztes aláírja, és a kliens követi a láncot egy általa már megbízható gyökérhez. A gyökér az Ön helyi kiindulópontja. Aki a köztes privát kulcsát ellenőrzi, az aláírhat az adott hatóság alatt. Egy matematikailag érvényes aláírásnak lehet teljesen megbízhatatlan aláírója. Az érvényesítőnek szüksége van egy módszerre, amellyel visszavonhatja a bizalmat egy kompromittáció után. Wayne aláírta az üzenetet: „Van itt egy problémánk, Wayne”

1:12 minden egyes kulccsal. A Mozilla ellenőrizte a kulcsvezérlést, majd függetlenül visszaállította a kulcsokat. A sürgősségi válasz egy mondattal kezdődött, ami úgy hangzik, mintha valaki észrevette volna, hogy az irodai nyomtató füstöl.

### Mi bizonyított, és mi marad ismeretlen?

1:22 A nyilvános jelentés szerint a kulcsokat helytelenül generálták, és visszaállíthatók voltak a tavaly áprilisban létrehozott tanúsítványokból. Az egyéb szoftverek elleni tényleges visszaélés továbbra is ismeretlen. A visszaállítható aláírói jogosultság elég sürgős egy kitalált áldozatlista nélkül is. Van itt egy fontos korlát. A jelentés nem talált tanúsítvány átláthatósági bejegyzéseket ezekhez a köztes elemekhez abban az időszakban.

1:42 Azt mondja, hogy az átláthatóságot érvényesítő böngészőket ezen az úton keresztül nem támadhatták meg. Ez az extra böngészőellenőrzés segít megmagyarázni, miért túlozza el a kép a címsor önmagában. Az eMudhra elmondta a Mozillának, hogy körülbelül harmincezer tanúsítványt kellett migrálni egy másik láncra. Ezek működő szolgáltatások, amelyek tulajdonosainak a takarítás során ki kell cserélniük a tanúsítványokat. Valahol egy naptári meghívó most produkciós függőséggé vált. A böngészőgyártók sürgősségi feketelistákat terjesztenek. A jelentés pénteki Firefox és Chrome intézkedéseket rögzít,

### Miért nem ért egyet a böngésző és a futásidejű környezet?

2:03 majd az Apple és a Microsoft intézkedéseit. Ezek a kliensek elutasíthatják a kompromittált köztes elemet, miközben felismerik a gyökerét. Ez a szabály külön utazik az alkalmazás csomagjától. Egyes kliensek ellenőrzik a láncot a megbízható gyökerekkel szemben anélkül, hogy sürgősségi visszavonási információkat fogyasztanának. A hatóság közzétehet egy visszavonást, és az adott kliens továbbra is elfogadhatja a láncot. Egy tábla elhelyezése az ajtón jobban működik, ha a látogató elolvassa a táblákat. A Mozilla szerint néhány Android profil nem alkalmazta a frissített feketelistát a

2:27 indításkor. Egy javítás megjelent a Firefox 158.02 verziójában. Szóval a böngészőt is tartsa naprakészen. A bejelentés nem tudja leltározni a telefonját. A karbantartók eltávolíthatnak egy bizalmi horgonyt, ha a kliensek nem rendelkeznek szűkebb blokkolással. A Mozilla szálja az emSign ECC gyökér sürgősségi bizalmatlanságát írja le, harmadik generáció. Egy gyökér eltávolítása egy bizalmi tárból blokkolja az arra támaszkodó láncokat, még akkor is, ha maga a gyökér privát kulcsa soha nem kompromittálódott. A Python legújabb certifi kiadása egy downstream frissítés.

2:54 A commit egy korábbi eltávolítás után visszaállítja az érintetlen emSign gyökereket is. A cég nevét viselő összes dolog törlése rossz helyettesítője a

### Mely frissítések érték el a Pythont és a Node-ot?

3:01 karbantartott csomagnak. A veszélyes lánc elutasítását és a legitim ügyfelek további működését szeretné. A kiadási előzmények mindkét döntést megőrzik. A biztonsági takarításnak van az a csillogó feladata, hogy sürgős legyen, pontos, és hibás legyen minden olyan szolgáltatásért, ami ebéd közben elromlik. A Node 24.22.1 verziója ma jelent meg frissített gyökerekkel. Ellenőrizze a saját ágának tanácsát és tényleges CA konfigurációját. Egy egyéni köteg megváltoztathatja, hogy a folyamat melyik bizalmi tárat használja.

3:26 A Torban egy kutató tegnap közzétett egy beszámolót háromszázharminc három kompromittált kilépési reléről. A lehallgatás még ebben a hónapban kezdődött.

### Mit fogott az Tor gazda-kulcs figyelmeztetés?

3:36 A reléket napokkal később megjelölték és leállították, még mielőtt a cikk megérkezett volna. Az SSH figyelmeztette a kutatót, hogy a szerver identitása megváltozott. Jelentette a Tor hálózati egészségügyi csapatának. Az operátor értesítésük megerősíti a lehallgatásokról szóló jelentéseket. Ez a figyelmeztetés pontosan azt a kellemetlen dolgot tette, amit a hitelesítésnek tennie kellene. Körülbelül tíz százaléknyi relét számláltak, különböző kapacitásokkal, így a forgalmi részesedés mérhetetlen maradt.

3:57 A Tor útválasztásnak és az SSH szerver identitásnak külön feladatai vannak. Ellenőrizze a megváltozott gazda kulcsot egy megbízható csatornán keresztül, mielőtt elfogadja, és bejelentkezik. Visszatérve az alkalmazásához, kezdje a futó konténerrel vagy virtuális környezettel. Keresse meg a ténylegesen használt CA köteget, és alkalmazza a releváns karbantartott frissítést. Építse újra és indítsa újra a telepített folyamatot, hogy betölthesse a megváltozott bizalmi

### Hogyan ellenőrzi a telepített javítást?

4:12 anyagot. Használja a karbantartók nyilvános tesztláncait a kliens valódi környezetében. Tartsa külön a tanúsítványhibát a hálózati időtúllépéstől. Egy sikertelen csatlakozás szállodai Wi-Fi-n kiváló tesztje a szállodai Wi-Fi-nek. Az apró függőség egy külön csomagolt bizalmi tár, például a certifi. Az asztali böngészője soha nem szerkeszti ezt a függőséget egy régi konténeren belül. A telepített folyamat és annak konfigurációja dönti el, hogy megérkezett-e a javítás. Ez az a hely, ahol ellenőriznie kell a frissítést. Ha inkább elolvasná, mintsem hallaná tőlem, a diff minden reggel megérkezik a beérkező levelei közé,

4:42 ingyen a thedailydiff.dev címen, a link alább található. Szóval a mai ítélet: NEEDS REVIEW (felülvizsgálat szükséges). A telepített kliens bizalmát ellenőrizni akarom, mielőtt bárki lezárná ezt az incidenst.

### Mi kapja meg a NEEDS REVIEW (felülvizsgálat szükséges) bélyeget?

4:51 Iratkozz fel, nyomd meg a csengőt, és mondd el kommentben, ha te másképp pecsételted volna le. És ennyi volt a mai diff. Niko vagyok az Axrisitől. Felelősségteljesen egyesítsen. Niko vagyok az Axrisitől. Felelősségteljesen egyesítsen.

## Források

- [eMudhra Intermediate CA Compromise](https://emudhra.we-have-a-problem.com/) — Dennis Jackson
- [Private key compromise of eMudhra Intermediate Certificates](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449) — Mozilla Bugzilla
- [certifi 2026.10.19 release](https://github.com/certifi/python-certifi/releases/tag/2026.10.19) — certifi
- [Restore unaffected emSign roots](https://github.com/certifi/python-certifi/commit/662df63d7906df66f1f07c0751a3dfe9da14d914) — certifi
- [Node 24.22.1 security release](https://github.com/nodejs/node/releases/tag/v24.22.1) — Node.js
- [Update root certificates to NSS 3.131.1](https://github.com/nodejs/node/pull/66877) — Node.js
- [How I got over 300 Tor exit nodes removed](https://kaba.cx/posts/20261020_Tor/) — KABA
- [Security incident affecting some relay operators](https://lists.torproject.org/mailman3/hyperkitty/list/tor-relays@lists.torproject.org/thread/WOHPLKCSHYXFTBRZXDENDKJZMBMPLMG5/) — Tor Project network health