eMudhra köztes CA kompromittáció: böngésző feketelisták és a futásidejű bizalmi rés

Amit ez a videó tartalmaz

• A kompromittált kulcsok köztes aláírókhoz tartoznak. A root bizalmatlansága enyhítheti a láncot anélkül, hogy bizonyítaná, hogy a root privát kulcsa kompromittálódott.
• A böngésző sürgősségi feketelistája és az alkalmazásba csomagolt CA-tár külön frissítési útvonalakat követhet. Ellenőrizze a futó folyamatot és annak tényleges bizalmi konfigurációját.
• A Mozilla függetlenül megerősítette a visszaállítható privát kulcsokat. A jelentés nem ír le CT bejegyzéseket az érintett köztes elemekre; az egyéb kliensek elleni tényleges visszaélés továbbra is ismeretlen.
• Az elsődleges kiadások ellenőrzik a certifi 2026.10.19 és Node 24.22.1 verziókat a tárgyalt ágakhoz. Az egyedi CA kötegek és egyéb futásidejű ágak saját ellenőrzéseket igényelnek.
• A Tor kutató 333 relés fiókja egy korábbi, októberi esettel kapcsolatos, amelyet október 20-án publikáltak. Körülbelül tíz százalék a relék száma, nem pedig lehallgatott forgalom mérés.
• Önmagában egy hálózati időtúllépés nem bizonyítja, hogy a tanúsítvány érvényesítése elutasított egy kompromittált láncot. Őrizze meg az ellenőrzést, és különböztessen meg a szállítási hibákat a hitelesítési hibáktól.

Lefordított átirat

Az eredeti angol narrációból fordítva. A rendelkezésre álló hangot és feliratokat a YouTube vezérli.

Miért hagyhat egy javított böngésző egy alkalmazást sebezhetően?

0:00 Az eMudhra böngészőjavítás teljesen tisztának tűnik. Nyolc kompromittált aláíró kulcs továbbra is elavult bizalmi döntéseket hagy a szoftverben. Ebben a videóban ki írhat alá? Miért nem értenek egyet a kliensek? És melyik frissítés éri el valójában az alkalmazását? Egy apró függőség saját bizalmi listát tart fenn. Visszatérünk arra a folyamatra, amely eldönti, hogy megérkezett-e a javítás. Szerda van, október huszonegyedike, és ez a The Daily Diff.

0:22 Az eMudhra egy tanúsító hatóság. Digitális tanúsítványokat ír alá, amelyek segítenek a szoftvereknek hitelesíteni a weboldalakat és szolgáltatásokat. A kompromittált kulcsok között hat webes kapcsolathoz, kettő pedig szoftveraláíráshoz használt kulcs található. Egy köztes kulcs egy megbízható gyökér alatt delegált aláíró. Pénteken egy riporter, Wayne, bizonyítékot küldött a gyökérprogramoknak. Keddre a nyilvános incidensoldal magyarázta a takarítást. Ma a fejlesztők felfedezhetik, hány bizalmi másolatot gyűjtött össze a tökéletesen normális alkalmazásuk.

Mire jogosít fel egy köztes kulcs?

0:49 Itt van a szokásos lánc. Egy webhely bemutat egy tanúsítványt, egy köztes aláírja, és a kliens követi a láncot egy általa már megbízható gyökérhez. A gyökér az Ön helyi kiindulópontja. Aki a köztes privát kulcsát ellenőrzi, az aláírhat az adott hatóság alatt. Egy matematikailag érvényes aláírásnak lehet teljesen megbízhatatlan aláírója. Az érvényesítőnek szüksége van egy módszerre, amellyel visszavonhatja a bizalmat egy kompromittáció után. Wayne aláírta az üzenetet: „Van itt egy problémánk, Wayne”

1:12 minden egyes kulccsal. A Mozilla ellenőrizte a kulcsvezérlést, majd függetlenül visszaállította a kulcsokat. A sürgősségi válasz egy mondattal kezdődött, ami úgy hangzik, mintha valaki észrevette volna, hogy az irodai nyomtató füstöl.

Mi bizonyított, és mi marad ismeretlen?

1:22 A nyilvános jelentés szerint a kulcsokat helytelenül generálták, és visszaállíthatók voltak a tavaly áprilisban létrehozott tanúsítványokból. Az egyéb szoftverek elleni tényleges visszaélés továbbra is ismeretlen. A visszaállítható aláírói jogosultság elég sürgős egy kitalált áldozatlista nélkül is. Van itt egy fontos korlát. A jelentés nem talált tanúsítvány átláthatósági bejegyzéseket ezekhez a köztes elemekhez abban az időszakban.

1:42 Azt mondja, hogy az átláthatóságot érvényesítő böngészőket ezen az úton keresztül nem támadhatták meg. Ez az extra böngészőellenőrzés segít megmagyarázni, miért túlozza el a kép a címsor önmagában. Az eMudhra elmondta a Mozillának, hogy körülbelül harmincezer tanúsítványt kellett migrálni egy másik láncra. Ezek működő szolgáltatások, amelyek tulajdonosainak a takarítás során ki kell cserélniük a tanúsítványokat. Valahol egy naptári meghívó most produkciós függőséggé vált. A böngészőgyártók sürgősségi feketelistákat terjesztenek. A jelentés pénteki Firefox és Chrome intézkedéseket rögzít,

Miért nem ért egyet a böngésző és a futásidejű környezet?

2:03 majd az Apple és a Microsoft intézkedéseit. Ezek a kliensek elutasíthatják a kompromittált köztes elemet, miközben felismerik a gyökerét. Ez a szabály külön utazik az alkalmazás csomagjától. Egyes kliensek ellenőrzik a láncot a megbízható gyökerekkel szemben anélkül, hogy sürgősségi visszavonási információkat fogyasztanának. A hatóság közzétehet egy visszavonást, és az adott kliens továbbra is elfogadhatja a láncot. Egy tábla elhelyezése az ajtón jobban működik, ha a látogató elolvassa a táblákat. A Mozilla szerint néhány Android profil nem alkalmazta a frissített feketelistát a

2:27 indításkor. Egy javítás megjelent a Firefox 158.02 verziójában. Szóval a böngészőt is tartsa naprakészen. A bejelentés nem tudja leltározni a telefonját. A karbantartók eltávolíthatnak egy bizalmi horgonyt, ha a kliensek nem rendelkeznek szűkebb blokkolással. A Mozilla szálja az emSign ECC gyökér sürgősségi bizalmatlanságát írja le, harmadik generáció. Egy gyökér eltávolítása egy bizalmi tárból blokkolja az arra támaszkodó láncokat, még akkor is, ha maga a gyökér privát kulcsa soha nem kompromittálódott. A Python legújabb certifi kiadása egy downstream frissítés.

2:54 A commit egy korábbi eltávolítás után visszaállítja az érintetlen emSign gyökereket is. A cég nevét viselő összes dolog törlése rossz helyettesítője a

Mely frissítések érték el a Pythont és a Node-ot?

3:01 karbantartott csomagnak. A veszélyes lánc elutasítását és a legitim ügyfelek további működését szeretné. A kiadási előzmények mindkét döntést megőrzik. A biztonsági takarításnak van az a csillogó feladata, hogy sürgős legyen, pontos, és hibás legyen minden olyan szolgáltatásért, ami ebéd közben elromlik. A Node 24.22.1 verziója ma jelent meg frissített gyökerekkel. Ellenőrizze a saját ágának tanácsát és tényleges CA konfigurációját. Egy egyéni köteg megváltoztathatja, hogy a folyamat melyik bizalmi tárat használja.

3:26 A Torban egy kutató tegnap közzétett egy beszámolót háromszázharminc három kompromittált kilépési reléről. A lehallgatás még ebben a hónapban kezdődött.

Mit fogott az Tor gazda-kulcs figyelmeztetés?

3:36 A reléket napokkal később megjelölték és leállították, még mielőtt a cikk megérkezett volna. Az SSH figyelmeztette a kutatót, hogy a szerver identitása megváltozott. Jelentette a Tor hálózati egészségügyi csapatának. Az operátor értesítésük megerősíti a lehallgatásokról szóló jelentéseket. Ez a figyelmeztetés pontosan azt a kellemetlen dolgot tette, amit a hitelesítésnek tennie kellene. Körülbelül tíz százaléknyi relét számláltak, különböző kapacitásokkal, így a forgalmi részesedés mérhetetlen maradt.

3:57 A Tor útválasztásnak és az SSH szerver identitásnak külön feladatai vannak. Ellenőrizze a megváltozott gazda kulcsot egy megbízható csatornán keresztül, mielőtt elfogadja, és bejelentkezik. Visszatérve az alkalmazásához, kezdje a futó konténerrel vagy virtuális környezettel. Keresse meg a ténylegesen használt CA köteget, és alkalmazza a releváns karbantartott frissítést. Építse újra és indítsa újra a telepített folyamatot, hogy betölthesse a megváltozott bizalmi

Hogyan ellenőrzi a telepített javítást?

4:12 anyagot. Használja a karbantartók nyilvános tesztláncait a kliens valódi környezetében. Tartsa külön a tanúsítványhibát a hálózati időtúllépéstől. Egy sikertelen csatlakozás szállodai Wi-Fi-n kiváló tesztje a szállodai Wi-Fi-nek. Az apró függőség egy külön csomagolt bizalmi tár, például a certifi. Az asztali böngészője soha nem szerkeszti ezt a függőséget egy régi konténeren belül. A telepített folyamat és annak konfigurációja dönti el, hogy megérkezett-e a javítás. Ez az a hely, ahol ellenőriznie kell a frissítést. Ha inkább elolvasná, mintsem hallaná tőlem, a diff minden reggel megérkezik a beérkező levelei közé,

4:42 ingyen a thedailydiff.dev címen, a link alább található. Szóval a mai ítélet: NEEDS REVIEW (felülvizsgálat szükséges). A telepített kliens bizalmát ellenőrizni akarom, mielőtt bárki lezárná ezt az incidenst.

Mi kapja meg a NEEDS REVIEW (felülvizsgálat szükséges) bélyeget?

4:51 Iratkozz fel, nyomd meg a csengőt, és mondd el kommentben, ha te másképp pecsételted volna le. És ennyi volt a mai diff. Niko vagyok az Axrisitől. Felelősségteljesen egyesítsen. Niko vagyok az Axrisitől. Felelősségteljesen egyesítsen.

Források

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health