# eMudhra միջանկյալ CA-ի փոխզիջում. բրաուզերի արգելափակման ցուցակները և վստահության բացը գործարկման ժամանակ

Published: 2026-10-21

eMudhra-ի ութ միջանկյալ ստորագրման բանալիներ վտանգված են եղել, այդ թվում՝ վեցը TLS-ի համար և երկուսը՝ կոդի ստորագրման համար։ Դրվագը հետևում է Mozilla-ի հաստատմանը, բրաուզերի արգելափակմանը և հետագա թարմացումներին՝ բացատրելու համար, թե ինչու տեղակայված հավելվածին անհրաժեշտ է ստուգել իր վստահության կազմաձևը: Առանձին Tor զեկույցը ցույց է տալիս SSH հյուրընկալող-ինքնության նախազգուշացումը, որն անում է իր գործը:

Canonical: https://thedailydiff.dev/hy/video/2026-10-21-emudhra-trust-gap/

## Ինչ է ընդգրկում այս տեսանյութը

- Վտանգված բանալիները պատկանում են միջանկյալ ստորագրողներին: Արմատային անվստահությունը կարող է մեղմել շղթան՝ առանց ապացուցելու, որ արմատային գաղտնի բանալին վտանգված է եղել:
- Բրաուզերի արտակարգ իրավիճակների արգելափակման ցուցակը և հավելվածի փաթեթավորված CA պահեստը կարող են հետևել թարմացման առանձին ուղիներին: Ստուգեք գործող պրոցեսը և դրա իրական վստահության կազմաձևը:
- Mozilla-ն անկախորեն հաստատել է վերականգնվող գաղտնի բանալիները։ Զեկույցը չի նկարագրում CT մուտքեր՝ տուժած միջանկյալների համար. այլ հաճախորդների դեմ իրական չարաշահումը մնում է անհայտ։
- Հիմնական թողարկումները ստուգում են certifi 2026.10.19 և Node 24.22.1 քննարկվող ճյուղերի համար: Հատուկ CA փաթեթները և այլ գործարկման ճյուղերը պահանջում են իրենց սեփական ստուգումները:
- Tor-ի հետազոտողի 333 ռելեային հաշիվը վերաբերում է հոկտեմբերի սկզբին տեղի ունեցած միջադեպին, որը հրապարակվել է հոկտեմբերի 20-ին։ Մոտ տասը տոկոսը ռելեի քանակն է, ոչ թե ընդհատված տրաֆիկի չափումը:
- Միայն ցանցի ժամանակային սահմանափակումը չի հաստատում, որ վկայագրի վավերացումը մերժել է վտանգված շղթան: Պահպանեք ստուգումը և տարբերեք փոխանցման սխալները նույնականացման ձախողումներից:

## Գլուխներ

- 0:00 Ինչու կարող է ֆիքսված բրաուզերը հավելվածը բաց թողնել:
- 0:49 Ի՞նչ է թույլատրում միջանկյալ բանալին:
- 1:22 Ի՞նչ է ապացուցված, և ի՞նչն է մնում անհայտ:
- 2:03 Ինչու՞ են բրաուզերը և գործարկման միջավայրը տարբերվում:
- 2:58 Ո՞ր թարմացումները հասան Python-ին և Node-ին:
- 3:33 Ի՞նչ բռնեց Tor հոսթ-բանալու նախազգուշացումը:
- 4:10 Ինչպե՞ս ստուգել տեղակայված ուղղումը:
- 4:51 Ի՞նչն է ստանում NEEDS REVIEW կնիքը:

## Թարգմանված արձանագրություն

Թարգմանվել է բնօրինակ անգլերեն պատմությունից։ Հասանելի աուդիո և ենթագրերը վերահսկվում են YouTube-ի կողմից։

### Ինչու կարող է ֆիքսված բրաուզերը հավելվածը բաց թողնել:

0:00 eMudhra բրաուզերի ուղղումը կարծես ամբողջովին մաքուր է: Ութ վտանգված ստորագրման բանալիները դեռևս թողնում են ծրագրաշարը հնացած վստահության որոշումներով: Այս տեսանյութում ո՞վ կարող է ստորագրել: Ինչու՞ են հաճախորդները չհամաձայնվում: Եվ ո՞ր թարմացումն է իրականում հասնում ձեր հավելվածին: Մեկ փոքր կախվածություն պահում է իր սեփական վստահության ցուցակը: Մենք կվերադառնանք այն գործընթացին, որը որոշում է, թե արդյոք ձեր ուղղումը հասել է: Չորեքշաբթի է, հոկտեմբերի քսանմեկը, և սա The Daily Diff-ն է:

0:22 eMudhra-ն վկայագրային կենտրոն է: Այն ստորագրում է թվային վկայագրեր, որոնք օգնում են ծրագրաշարին նույնականացնել կայքեր և ծառայություններ: Վտանգված բանալիները ներառում են վեցը, որոնք օգտագործվում են վեբ կապերի համար, և երկուսը՝ ծրագրաշարի ստորագրման համար: Միջանկյալը վստահելի արմատի տակ գտնվող պատվիրակված ստորագրող է: Ուրբաթ օրը լրագրող Ուեյնը ապացույցներ ուղարկեց արմատային ծրագրերին: Երեքշաբթի օրը հանրային միջադեպի էջը բացատրում էր մաքրումը: Այսօր մշակողները պետք է պարզեն, թե իրենց կատարյալ նորմալ հավելվածը վստահության քանի՞ օրինակ է հավաքել:

### Ի՞նչ է թույլատրում միջանկյալ բանալին:

0:49 Ահա սովորական շղթան: Կայքը ներկայացնում է վկայագիր, միջանկյալը ստորագրում է այն, և ձեր հաճախորդը հետևում է շղթային մինչև արմատ, որին արդեն վստահում է: Արմատը ձեր տեղական մեկնարկային կետն է: Ով վերահսկում է միջանկյալի գաղտնի բանալին, կարող է ստորագրել այդ լիազորության ներքո: Մաթեմատիկորեն վավեր ստորագրությունը կարող է ունենալ լիովին անվստահելի ստորագրող: Վավերացնողին անհրաժեշտ է միջոց՝ վտանգից հետո վստահությունը հետ վերցնելու համար: Ուեյնը ստորագրեց հաղորդագրությունը՝ Մենք այստեղ խնդիր ունենք, Ուեյն,

1:12 յուրաքանչյուր բանալիով: Mozilla-ն ստուգեց բանալիների վերահսկողությունը, այնուհետև անկախորեն վերականգնեց բանալիները: Արտակարգ արձագանքը սկսվեց մի նախադասությունից, որը հնչում էր այնպես, կարծես ինչ-որ մեկը նկատել էր, որ գրասենյակային տպիչը ծխում էր:

### Ի՞նչ է ապացուցված, և ի՞նչն է մնում անհայտ:

1:22 Հանրային զեկույցում ասվում է, որ բանալիները սխալ են ստեղծվել և վերականգնվել են վկայագրերից, որոնք ստեղծվել են անցյալ տարվա ապրիլին: Այլ ծրագրաշարի դեմ իրական չարաշահումը դեռևս անհայտ է: Վերականգնվող ստորագրման լիազորությունը բավականին շտապ է՝ առանց հորինված զոհերի ցուցակի: Այստեղ կա կարևոր սահմանափակում: Զեկույցը չգտավ վկայագրի թափանցիկության մուտքեր այդ միջանկյալների համար այդ ժամանակահատվածում:

1:42 Այն ասում է, որ բրաուզերները, որոնք կիրառում են թափանցիկություն, չէին կարող հարձակվել այս միջոցով: Այդ լրացուցիչ բրաուզերի ստուգումն օգնում է բացատրել, թե ինչու է միայն վերնագիրը չափազանցնում պատկերը: eMudhra-ն Mozilla-ին հայտնել է, որ մոտ երեսուն հազար վկայագիր պետք է տեղափոխվեն մեկ այլ շղթա: Դրանք գործող ծառայություններ են, որոնց սեփականատերերը պետք է փոխարինեն վկայագրերը մաքրման ընթացքում: Ինչ-որ տեղ օրացույցի հրավերը դարձավ արտադրական կախվածություն:

### Ինչու՞ են բրաուզերը և գործարկման միջավայրը տարբերվում:

2:03 Բրաուզեր մատակարարողները տարածում են արտակարգ արգելափակման ցուցակներ: Զեկույցը գրանցում է Firefox-ի և Chrome-ի գործողությունները ուրբաթ օրը, որին հաջորդում են Apple-ը և Microsoft-ը: Այս հաճախորդները կարող են մերժել վտանգված միջանկյալը՝ ճանաչելով դրա արմատը: Այդ կանոնը տարբերվում է ձեր հավելվածի փաթեթից: Որոշ հաճախորդներ ստուգում են շղթան վստահելի արմատների դեմ՝ առանց արտակարգ հետկանչման տեղեկատվություն սպառելու: Իշխանությունը կարող է հրապարակել հետկանչում, և այդ հաճախորդը կարող է շարունակել ընդունել շղթան:

2:27 Դռան վրա նշան դնելն ավելի լավ է աշխատում, երբ այցելուն կարդում է նշանները: Mozilla-ն ասում է, որ Android-ի որոշ պրոֆիլներ չեն կարողացել կիրառել թարմացված արգելափակման ցուցակը մեկնարկի ժամանակ: Ուղղումը առաքվել է Firefox-ի մեկ հիսունութ կետ զրո երկուսում: Այսպիսով, բրաուզերը նույնպես թարմ պահեք: Հայտարարությունը չի կարող գույքագրել ձեր հեռախոսը: Պահպանողները կարող են հեռացնել վստահության խարիսխը, երբ հաճախորդները չունեն ավելի նեղ արգելափակում: Mozilla-ի թրեդը նկարագրում է emSign ECC արմատի արտակարգ անվստահությունը, երրորդ սերունդը: Արմատի հեռացումը վստահության պահեստից արգելափակում է դրան հենվող շղթաները,

2:54 նույնիսկ երբ արմատի գաղտնի բանալին ինքնին երբեք չի վտանգվել: Python-ի վկայագրի վերջին թողարկումը մեկ ներքևի հոսքի թարմացում է:

### Ո՞ր թարմացումները հասան Python-ին և Node-ին:

3:01 Դրա կոմիտեն նաև վերականգնում է չվնասված emSign արմատները նախկին հեռացումից հետո: Ընկերության անունը կրող ամեն ինչ ջնջելը վատ փոխարինում է պահպանված փաթեթին: Դուք ցանկանում եք, որ վտանգավոր շղթան մերժվի, իսկ օրինական հաճախորդները դեռևս աշխատեն: Թողարկման պատմությունը պահպանում է երկու որոշումներն էլ: Անվտանգության մաքրումը ունի շտապ, ճշգրիտ և ճաշի ժամանակ կոտրված ցանկացած ծառայության համար մեղադրվելու հմայիչ աշխատանքը: Node-ի քսանչորս կետ քսաներկու կետ մեկ տարբերակը առաքվեց այսօր թարմացված

3:26 արմատներով: Ստուգեք ձեր սեփական ճյուղի խորհրդատվությունը և իրական CA կազմաձևը: Հատուկ փաթեթը կարող է փոխել, թե որ վստահության պահեստն է օգտագործում գործընթացը: Tor-ում, մի հետազոտող երեկ հրապարակեց երեք հարյուր երեսուն

### Ի՞նչ բռնեց Tor հոսթ-բանալու նախազգուշացումը:

3:36 երեք վտանգված ելքային ռելեների մասին հաշվետվություն: Միջամտությունը սկսվել է այս ամսվա սկզբին: Ռելեները նշվել և անջատվել են օրեր անց՝ մինչև գրությունը հասնելը: SSH-ն նախազգուշացրեց հետազոտողին, որ սերվերի ինքնությունը փոխվել է: Նա դա հայտնեց Tor-ի ցանցի առողջության թիմին: Նրանց օպերատորի ծանուցումը հաստատում է միջամտության մասին հաղորդագրությունները: Այդ նախազգուշացումը հենց այն անհարմար բանն էր անում, ինչ պետք է անի նույնականացումը:

3:57 Մոտ տասը տոկոսը հաշվել է տարբեր հզորություններով ռելեներ՝ թողնելով տրաֆիկի բաժինը չափված: Tor երթուղավորումը և SSH սերվերի ինքնությունը առանձին գործառույթներ ունեն: Ստուգեք փոխված հոսթի բանալին վստահելի ալիքով մինչև այն ընդունելը և մուտք գործելը: Վերադառնալով ձեր հավելված, սկսեք գործող կոնտեյներից կամ վիրտուալ միջավայրից:

### Ինչպե՞ս ստուգել տեղակայված ուղղումը:

4:12 Գտեք այն CA փաթեթը, որը այն իրականում օգտագործում է, և կիրառեք համապատասխան պահպանված թարմացումը: Վերակառուցեք և վերագործարկեք տեղակայված գործընթացը, որպեսզի այն կարողանա բեռնել փոփոխված վստահության նյութը: Օգտագործեք պահպանողների հանրային թեստային շղթաները հաճախորդի իրական միջավայրում: Անջատեք վկայագրի սխալը ցանցի ժամանակային սահմանափակումից: Հյուրանոցի Wi-Fi-ի անհաջող կապը հյուրանոցի Wi-Fi-ի հիանալի թեստ է: Փոքր կախվածությունը առանձին փաթեթավորված վստահության պահեստ է, ինչպես certifi-ն: Ձեր աշխատասեղանի բրաուզերը երբեք չի խմբագրում այդ կախվածությունը հին կոնտեյների ներսում: Տեղակայված գործընթացը և դրա կազմաձևը որոշում են, թե արդյոք ուղղումը

4:42 հասել է: Դա այն վայրն է, որտեղ պետք է ստուգեք ձեր թարմացումը: Եթե նախընտրում եք կարդալ սա, քան լսել, թե ինչպես եմ ես ասում, ապա տարբերությունը հայտնվում է ձեր մուտքի արկղում ամեն առավոտ, անվճար the daily diff dot dev կայքում, հղումը ստորև:

### Ի՞նչն է ստանում NEEDS REVIEW կնիքը:

4:51 Այսպիսով, այսօրվա վճիռն է NEEDS REVIEW: Ես ցանկանում եմ, որ տեղակայված հաճախորդի վստահությունը ստուգվի, նախքան որևէ մեկը փակի այս միջադեպը: Բաժանորդագրվեք, սեղմեք զանգակը և մեկնաբանություններում ասեք ինձ, եթե դուք այն տարբեր կնքեիք: Եվ դա այսօրվա տարբերությունն է: Ես Նիկոն եմ Axrisi-ից: Միավորեք պատասխանատու կերպով:

## Աղբյուրներ

- [eMudhra Intermediate CA Compromise](https://emudhra.we-have-a-problem.com/) — Dennis Jackson
- [Private key compromise of eMudhra Intermediate Certificates](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449) — Mozilla Bugzilla
- [certifi 2026.10.19 release](https://github.com/certifi/python-certifi/releases/tag/2026.10.19) — certifi
- [Restore unaffected emSign roots](https://github.com/certifi/python-certifi/commit/662df63d7906df66f1f07c0751a3dfe9da14d914) — certifi
- [Node 24.22.1 security release](https://github.com/nodejs/node/releases/tag/v24.22.1) — Node.js
- [Update root certificates to NSS 3.131.1](https://github.com/nodejs/node/pull/66877) — Node.js
- [How I got over 300 Tor exit nodes removed](https://kaba.cx/posts/20261020_Tor/) — KABA
- [Security incident affecting some relay operators](https://lists.torproject.org/mailman3/hyperkitty/list/tor-relays@lists.torproject.org/thread/WOHPLKCSHYXFTBRZXDENDKJZMBMPLMG5/) — Tor Project network health