Samningsrof eMudhra millivottunaraðila: vafrablokkunarlistar og trúnaðargap við keyrslu

Það sem þetta myndband fjallar um

• Hlutaðeigandi lyklar tilheyra millivottunaraðilum. Að taka traust frá rót getur dregið úr áhrifum án þess að sanna að einkalykill rótarinnar hafi verið í hættu.
• Neyðarblokkunarlisti vafra og innbyggð CA-geymsla forrits geta fylgt sérstökum uppfærsluleiðum. Athugaðu keyrsluferlið og raunverulega trúnaðarstillingu þess.
• Mozilla staðfesti sjálfstætt endurheimtanlega einkalykla. Skýrslan lýsir engum CT-færslum fyrir viðkomandi millivottunarlykla; raunveruleg misnotkun gegn öðrum viðskiptavinum er enn óþekkt.
• Aðalútgáfur staðfesta certifi 2026.10.19 og Node 24.22.1 fyrir þær greinar sem fjallað er um. Sérsniðnar CA-búntur og aðrar keyrslugreinar þurfa eigin athuganir.
• Reikningur Tor rannsakandans fyrir 333 endurvarpa snýr að atviki í byrjun október sem birtist 20. október. Um tíu prósent er fjöldi endurvarpa, ekki mæling á stöðvuðu umferðarmagni.
• Ein netafbrot staðfestir ekki að staðfesting vottorðs hafi hafnað samningsrofinni keðju. Varðveittu staðfestingu og greindu á milli flutningsvillna og auðkenningarbilana.

Þýtt afrit

Þýtt úr upprunalegri enskri frásögn. Tiltækt hljóð og textar eru stjórnaðir af YouTube.

Hvers vegna getur lagaður vafri skilið forrit eftir óvarið?

0:00 Lagfæring eMudhra vafrans hljómar eins og allt sé í lagi. Átta samningsrofandi undirritunarlyklar skilja samt eftir hugbúnað með úreltar traustsávarðanir. Í þessu myndbandi, hver getur skrifað undir? Hvers vegna eru viðskiptavinir ósammála? Og hvaða uppfærsla nær í raun til forritsins þíns? Ein pínulítil háð heldur sinni eigin traustslist. Við komum aftur að ferlinu sem ákveður hvort lagfæringin þín komst á leiðarenda. Það er miðvikudagur, tuttugasti og fyrsti október, og þetta er The Daily Diff.

0:22 eMudhra er vottunarþjónusta. Hún undirritar stafræn vottorð sem hjálpa hugbúnaði að auðkenna vefsíður og þjónustu. Meðal lyklanna sem voru í hættu eru sex sem voru notaðir fyrir veftengingar og tveir fyrir undirritun hugbúnaðar. Millivottun er útdeilaður undirritunaraðili undir traustri rót. Á föstudaginn sendi fréttamaður að nafni Wayne sönnun til rótarforritanna. Á þriðjudaginn útskýrði opinber atvikssíða hreinsunarstarfið. Í dag fá þróunaraðilar að uppgötva hversu mörg eintök af trausti fullkomlega venjulega forritið þeirra hefur safnað.

Hvað leyfir millilykill?

0:49 Hér er venjulega keðjan. Vefur sýnir vottorð, millivottun undirritar það, og viðskiptavinurinn þinn fylgir keðjunni að rót sem hann treystir nú þegar. Rótin er staðbundinn upphafspunktur þinn. Sá sem stjórnar einkalykli millivottunar getur undirritað undir þeirri heimild. Stærðfræðilega gild undirskrift getur haft algjörlega óáreiðanlegan undirritunaraðila. Staðfestandinn þarf leið til að draga til baka traust eftir samningsrof. Wayne undirritaði skilaboðin, Við erum í vandræðum hér, Wayne,

1:12 með hvern lykil. Mozilla staðfesti lyklastjórnun, endurheimti síðan lyklana sjálfstætt. Neyðarviðbrögðin hófust með setningu sem hljómar eins og einhver hafi tekið eftir að skrifstofuprentarinn væri að reykja.

Hvað er sannað og hvað er enn óþekkt?

1:22 Opinbera skýrslan segir að lyklarnir hafi verið rangt myndaðir og endurheimtanlegir úr vottorðunum, búnar til í apríl í fyrra. Raunveruleg misnotkun gegn öðrum hugbúnaði er enn óþekkt. Endurheimtanleg undirritunarheimild er nógu brýn án uppfundinnar fórnarlambalista. Hér er mikilvæg takmörkun. Skýrslan fann engin vottorð gegnsæisfærslur fyrir þessa millivottunarlykla á þessu tímabili.

1:42 Hún segir að vafrar sem framfylgja gegnsæi hefðu ekki getað orðið fyrir árás í gegnum þessa leið. Þessi aukalega vafraathugun hjálpar til við að útskýra hvers vegna fyrirsögnin ein og sér oflýgur myndinni. eMudhra sagði Mozilla að um þrjátíu þúsund vottorð þyrftu að flytjast yfir í aðra keðju. Þetta eru virkar þjónustur þar sem eigendur verða að skipta út vottorðum meðan á hreinsunarstarfinu stendur. Einhvers staðar varð dagatalsboð að framleiðsluháð.

Hvers vegna eru vafri og keyrsluumhverfi ósammála?

2:03 Vafraframleiðendur dreifa neyðarblokkunarlistum. Skýrslan skráir Firefox og Chrome aðgerðir á föstudaginn, fylgt eftir af Apple og Microsoft. Þessir viðskiptavinir geta hafnað samningsrofinni millivottun á meðan þeir viðurkenna rótina. Þessi regla fer sérstaklega frá búnti forritsins þíns. Sumir viðskiptavinir athuga keðju gegn traustum rótum án þess að neyta neyðar afturköllunarupplýsinga. Heimildin getur birt afturköllun, og sá viðskiptavinur getur haldið áfram að samþykkja keðjuna.

2:27 Að setja skilti á dyrnar virkar betur þegar gesturinn les skilti. Mozilla segir að sumir Android snið hafi ekki náð að beita uppfærðum blokkunarlista við ræsingu. Lagfæring var send í Firefox einn hundrað fimmtíu og átta punkt núll tveir. Svo haltu vafranum einnig uppfærðum. Tilkynningin getur ekki skráð símann þinn. Viðhaldsaðilar geta fjarlægt traustsfestu þegar viðskiptavinir skortir þrengri blokkun. Þráður Mozilla lýsir neyðartrausti á emSign ECC rótinni, kynslóð þrjú. Að fjarlægja rót úr traustsgeymslu lokar keðjum sem treysta á

2:54 hana, jafnvel þótt einkalykill rótarinnar sjálfrar hafi aldrei verið í hættu. Nýjasta certifi útgáfan frá Python er ein uppfærsla eftir atvik.

Hvaða uppfærslur náðu til Python og Node?

3:01 Skrásetning hennar endurheimtir einnig ósnortnar emSign rætur eftir fyrri fjarlægingu. Að eyða öllu sem ber nafn fyrirtækisins er lélegur staðgengill fyrir viðhaldið pakka. Þú vilt að hættuleg keðja sé hafnað og lögmætir viðskiptavinir haldi áfram að virka. Útgáfusaga varðveitir báðar ákvarðanirnar. Öryggishreinsun hefur það glamúrstarf að vera brýn, nákvæm og kennd um hvaða þjónusta bilar í hádeginu. Node útgáfa tuttugu og fjórir punktur tuttugu og tveir punktur einn var send í dag með uppfærðum

3:26 rótum. Athugaðu eigin greinar þinnar ráðgjöf og raunverulega CA stillingu. Sérsniðin búnt getur breytt því hvaða traustsgeymslu ferlið notar. Í Tor birti rannsakandi í gær frásögn af þrjú hundruð þrjátíu og

Hvað náði Tor viðvörunin um hýsingarlykil?

3:36 þremur samningsrofinum útleiðisendurvörpum. Hlerunin hófst fyrr í þessum mánuði. Sendurvarparnir voru merktir og slökktir dögum síðar, áður en skýrslan kom. SSH varaði rannsakandann við því að auðkenni netþjónsins hefði breyst. Hann tilkynnti það til heilbrigðisteymis Tor netsins. Tilkynning þeirra til rekstraraðila staðfestir fréttir af hlerun. Sú viðvörun gerði nákvæmlega það óþægilega sem auðkenning á að

3:57 gera. Um tíu prósent töldu endurvarpa með mismunandi getu, og skildu umferðarhlutdeildina eftir ómæld. Tor leiðarstýring og SSH netþjónsauðkenni hafa sérstök störf. Staðfestu breyttan hýsingarlykil í gegnum trausta rás áður en þú samþykkir hann og skráir þig inn. Til baka í forritinu þínu, byrjaðu á keyrsluhylkinu eða sýndarumhverfinu.

Hvernig athugarðu innleita lausn?

4:12 Finndu CA búntinn sem það notar í raun og notaðu viðeigandi uppfærslu sem er viðhaldin. Endurbyggðu og endurræstu innleita ferlið svo það geti hlaðið breyttu trausti efni. Notaðu opinberar prófunarkeðjur viðhaldsaðilanna í raunverulegu umhverfi viðskiptavinarins. Haltu vottorðsglímunni aðskilinni frá netafbroti. Misheppnuð tenging á hótel Wi-Fi er frábær prófun á hótel Wi-Fi. Pínulitla háðin er sérstaklega búntuð traustsgeymsla, eins og certifi. Skjáborðsvafrinn þinn breytir aldrei þeirri háð innan gamals hylkis. Innleita ferlið og stillingar þess ákveða hvort lagfæringin

4:42 komist á leiðarenda. Það er staðurinn til að staðfesta uppfærsluna þína. Ef þú vilt frekar lesa þetta en heyra mig segja það, þá lendir diff í pósthólfinu þínu á hverjum morgni, ókeypis á the daily diff dot dev, hlekkur hér að neðan.

Hvað fær NEEDS REVIEW stimpilinn?

4:51 Svo dómur dagsins er NEEDS REVIEW. Ég vil að traust innleita viðskiptavinarins sé athugað áður en nokkur lokar þessu atviki. Gerðu áskrifandi, smelltu á bjölluna, og segðu mér í athugasemdunum ef þú hefðir stimplað það öðruvísi. Og það er diff fyrir daginn í dag. Ég er Niko frá Axrisi. Sameinaðu á ábyrgan hátt.

Heimildir

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health