eMudhra შუალედური CA კომპრომეტირება: ბრაუზერის ბლოკირების სიები და მუშაობის დროს ნდობის ხარვეზი

რას მოიცავს ეს ვიდეო

• კომპრომეტირებული გასაღებები ეკუთვნის შუალედურ ხელმომწერებს. ძირეული უნდობლობა შეუძლია შეამსუბუქოს ჯაჭვი იმის დამტკიცების გარეშე, რომ ძირეული პირადი გასაღები კომპრომეტირებული იყო.
• ბრაუზერის საგანგებო ბლოკირების სია და აპლიკაციის შეკრებილი CA საცავი შეიძლება გაჰყვეს განახლების ცალკეულ გზებს. შეამოწმეთ მიმდინარე პროცესი და მისი რეალური ნდობის კონფიგურაცია.
• Mozilla-მ დამოუკიდებლად დაადასტურა აღდგენილი პირადი გასაღებები. ანგარიში არ აღწერს CT ჩანაწერებს დაზარალებული შუალედურებისთვის; რეალური ბოროტად გამოყენება სხვა კლიენტების მიმართ უცნობი რჩება.
• ძირითადი გამოცემები ამოწმებენ certifi 2026.10.19 და Node 24.22.1 განხილული ფილიალებისთვის. მორგებული CA პაკეტები და სხვა runtime ფილიალები საჭიროებს საკუთარ შემოწმებებს.
• Tor მკვლევარის 333-რელეიანი ანგარიში ეხება ოქტომბრის დასაწყისში მომხდარ ინციდენტს, რომელიც გამოქვეყნდა 20 ოქტომბერს. დაახლოებით ათი პროცენტი არის რელეების რაოდენობა, არა გადაჭერილი ტრაფიკის გაზომვა.
• მხოლოდ ქსელის დროის ამოწურვა არ ადასტურებს, რომ სერტიფიკატის ვალიდაციამ უარყო კომპრომეტირებული ჯაჭვი. შეინარჩუნეთ გადამოწმება და განასხვავეთ ტრანსპორტის შეცდომები ავთენტიფიკაციის წარუმატებლობისგან.

ნათარგმნი ტრანსკრიპტი

ნათარგმნია ორიგინალური ინგლისური ნარატივიდან. ხელმისაწვდომი აუდიო და სუბტიტრები კონტროლდება YouTube-ის მიერ.

რატომ შეიძლება დაფიქსირებულმა ბრაუზერმა აპლიკაცია დაუცველი დატოვოს?

0:00 eMudhra ბრაუზერის შესწორება ყოვლისმომცველად ჟღერს. რვა კომპრომეტირებული ხელმოწერის გასაღები მაინც ტოვებს პროგრამულ უზრუნველყოფას მოძველებული ნდობის გადაწყვეტილებებით. ამ ვიდეოში, ვინ შეიძლება მოაწეროს ხელი? რატომ არ ეთანხმებიან კლიენტები? და რომელი განახლება აღწევს რეალურად თქვენს აპლიკაციას? ერთი პატარა დამოკიდებულება ინახავს საკუთარ სანდო სიას. ჩვენ დავუბრუნდებით პროცესს, რომელიც გადაწყვეტს, ჩამოვიდა თუ არა თქვენი შესწორება. ოთხშაბათია, ოცდაერთი ოქტომბერი და ეს არის The Daily Diff.

0:22 eMudhra არის სერტიფიკაციის ცენტრი. ის ხელს აწერს ციფრულ სერტიფიკატებს, რომლებიც ეხმარება პროგრამულ უზრუნველყოფას ვებგვერდების ავთენტიფიკაციაში და სერვისებში. კომპრომეტირებული გასაღებები მოიცავს ექვსს, რომლებიც გამოიყენებოდა ვებ კავშირებში და ორს პროგრამული უზრუნველყოფის ხელმოწერისთვის. შუალედური არის დელეგირებული ხელმომწერი ნდობით აღჭურვილი root-ის ქვეშ. პარასკევს, რეპორტიორმა, სახელად უეინმა, root პროგრამებს მტკიცებულება გაუგზავნა. სამშაბათისთვის, საჯარო ინციდენტის გვერდი ასუფთავებდა სიტუაციას. დღეს, დეველოპერებს შეუძლიათ აღმოაჩინონ, რამდენი ასლი ნდობა აქვს მათ სრულიად ნორმალურ აპლიკაციას შეგროვებული.

რას აძლევს უფლებას შუალედური გასაღები?

0:49 აქ არის ჩვეულებრივი ჯაჭვი. საიტი წარმოადგენს სერტიფიკატს, შუალედური აწერს მას ხელს, და თქვენი კლიენტი მიჰყვება ჯაჭვს root-მდე, რომელსაც ის უკვე ენდობა. root არის თქვენი ადგილობრივი ამოსავალი წერტილი. ვინც აკონტროლებს შუალედური პირად გასაღებს, შეუძლია ხელი მოაწეროს ამ ავტორიტეტის ქვეშ. მათემატიკურად სწორ ხელმოწერას შეიძლება ჰქონდეს სრულიად უნდობელი ხელმომწერი. ვალიდატორს სჭირდება გზა ნდობის გასაუქმებლად კომპრომეტირების შემდეგ. უეინმა ხელი მოაწერა შეტყობინებას: „აქ პრობლემა გვაქვს, უეინ“

1:12 თითოეული გასაღებით. Mozilla-მ დაადასტურა გასაღების კონტროლი, შემდეგ დამოუკიდებლად აღადგინა გასაღებები. საგანგებო რეაგირება დაიწყო წინადადებით, რომელიც ჟღერს, თითქოს ვიღაცამ შეამჩნია, რომ ოფისის პრინტერი ეწეოდა.

რა არის დადასტურებული და რა რჩება უცნობი?

1:22 საჯარო ანგარიშში ნათქვამია, რომ გასაღებები არასწორად იყო გენერირებული და აღდგენილი იყო სერტიფიკატებიდან, რომლებიც გასული წლის აპრილში შეიქმნა. რეალური ბოროტად გამოყენება სხვა პროგრამული უზრუნველყოფის წინააღმდეგ ჯერ კიდევ უცნობია. აღდგენილი ხელმოწერის უფლებამოსილება საკმარისად გადაუდებელია გამოგონილი მსხვერპლთა სიის გარეშეც. აქ არის მნიშვნელოვანი ზღვარი. მოხსენებაში არ იყო ნაპოვნი სერტიფიკატის გამჭვირვალობის ჩანაწერები ამ შუალედურებისთვის ამ პერიოდში.

1:42 ნათქვამია, რომ ბრაუზერებზე, რომლებიც გამჭვირვალობას აწესებენ, ამ მარშრუტით თავდასხმა ვერ მოხერხდებოდა. ეს დამატებითი ბრაუზერის შემოწმება გვეხმარება იმის ახსნაში, თუ რატომ არის მხოლოდ სათაური სურათზე გადაჭარბებული. eMudhra-მ Mozilla-ს განუცხადა, რომ დაახლოებით ოცდაათი ათასი სერტიფიკატი საჭიროებდა მიგრაციას სხვა ჯაჭვში. ეს არის მოქმედი სერვისები, რომელთა მფლობელებმა სერტიფიკატები უნდა შეცვალონ დასუფთავების დროს. სადღაც, კალენდრის მოსაწვევი უბრალოდ წარმოების დამოკიდებულება გახდა.

რატომ არ ეთანხმებიან ბრაუზერი და runtime?

2:03 ბრაუზერის მომწოდებლები ავრცელებენ საგანგებო ბლოკირების სიებს. მოხსენებაში აღნიშნულია Firefox-ისა და Chrome-ის მოქმედება პარასკევს, შემდეგ Apple-ისა და Microsoft-ის. ამ კლიენტებს შეუძლიათ უარყონ კომპრომეტირებული შუალედური, ამავდროულად აღიარონ მისი root. ეს წესი თქვენი აპლიკაციის პაკეტიდან ცალკე მოძრაობს. ზოგიერთი კლიენტი ამოწმებს ჯაჭვს სანდო root-ებთან შედარებით საგანგებო გაუქმების ინფორმაციის მოხმარების გარეშე. ავტორიტეტს შეუძლია გამოაქვეყნოს გაუქმება, და ამ კლიენტს შეუძლია გააგრძელოს ჯაჭვის მიღება.

2:27 კარზე ნიშნის დადება უკეთ მუშაობს, როდესაც სტუმარი ნიშნებს კითხულობს. Mozilla ამბობს, რომ ზოგიერთმა Android პროფილმა ვერ გამოიყენა განახლებული ბლოკირების სია გაშვებისას. შესწორება გამოვიდა Firefox ას ორმოცდათვრამეტი წერტილი ნულ ორში. ასე რომ, ბრაუზერიც განახლებული შეინახეთ. განცხადება ვერ აღწერს თქვენს ტელეფონს. მომვლელებს შეუძლიათ წაშალონ ნდობის წამყვანი, როდესაც კლიენტებს აკლიათ ვიწრო ბლოკირება. Mozilla-ს თემა აღწერს emSign ECC root-ის საგანგებო უნდობლობას, მესამე თაობის. root-ის წაშლა სანდო მაღაზიიდან ბლოკავს ჯაჭვებს, რომლებიც მასზეა დამოკიდებული,

2:54 მაშინაც კი, როდესაც root-ის პირადი გასაღები თავად არასოდეს ყოფილა კომპრომეტირებული. Python-ის უახლესი certifi გამოშვება არის ერთი შემდგომი განახლება.

რომელი განახლებები მიაღწია Python-ს და Node-ს?

3:01 მისი კომიტი ასევე აღადგენს დაუზიანებელ emSign root-ებს ადრეული წაშლის შემდეგ. კომპანიის სახელის მატარებელი ყველაფრის წაშლა არის ცუდი შემცვლელი შენარჩუნებული პაკეტისთვის. თქვენ გსურთ, რომ საშიში ჯაჭვი უარყოფილი იყოს და ლეგიტიმური მომხმარებლები კვლავ მუშაობდნენ. გამოშვების ისტორია ინახავს ორივე გადაწყვეტილებას. უსაფრთხოების გაწმენდას აქვს გლამურული სამუშაო, რომ იყოს გადაუდებელი, ზუსტი და ბრალი დაედოს ნებისმიერი სერვისის გაფუჭებას ლანჩის დროს. Node-ის ვერსია ოცდაოთხი წერტილი ოცდაორი წერტილი ერთი დღეს გამოვიდა განახლებული

3:26 root-ებით. შეამოწმეთ თქვენი საკუთარი ფილიალის რეკომენდაცია და CA-ს რეალური კონფიგურაცია. მორგებულ პაკეტს შეუძლია შეცვალოს, რომელ სანდო მაღაზიას იყენებს პროცესი. Tor-ში, მკვლევარმა გუშინ გამოაქვეყნა ანგარიში სამას ოცდაცამეტ

რა დაიჭირა Tor-ის ჰოსტის გასაღების გაფრთხილებამ?

3:36 კომპრომეტირებული გამოსასვლელი რელეის შესახებ. ჩაჭრა ამ თვის დასაწყისში დაიწყო. რელეები მონიშნული და გამორთული იყო რამდენიმე დღის შემდეგ, სანამ ჩანაწერი მოვიდოდა. SSH-მა მკვლევარს გააფრთხილა, რომ სერვერის იდენტობა შეიცვალა. მან ეს შეატყობინა Tor-ის ქსელის ჯანმრთელობის გუნდს. მათი ოპერატორის შეტყობინება ადასტურებს ჩაჭრის შესახებ ცნობებს. ეს გაფრთხილება ზუსტად იმ არასასიამოვნო საქმეს აკეთებდა, რაც ავთენტიფიკაციას ევალება.

3:57 დაახლოებით ათი პროცენტი დათვლილი იყო სხვადასხვა სიმძლავრის რელეები, ტრაფიკის წილის გაუზომავად დატოვებით. Tor მარშრუტიზაციასა და SSH სერვერის იდენტობას ცალკეული სამუშაოები აქვთ. შეცვლილი ჰოსტის გასაღები გადაამოწმეთ სანდო არხის საშუალებით, სანამ მიიღებთ და შეხვალთ სისტემაში. თქვენს აპლიკაციაში, დაიწყეთ გაშვებული კონტეინერით ან ვირტუალური გარემოთი.

როგორ ამოწმებთ განთავსებულ შესწორებას?

4:12 იპოვეთ CA პაკეტი, რომელსაც ის რეალურად იყენებს და გამოიყენეთ შესაბამისი შენარჩუნებული განახლება. აღადგინეთ და გადატვირთეთ განთავსებული პროცესი, რათა მან ჩატვირთოს შეცვლილი ნდობის მასალა. გამოიყენეთ მომვლელების საჯარო სატესტო ჯაჭვები კლიენტის რეალურ გარემოში. სერტიფიკატის შეცდომა გამოყავით ქსელის დროის ამოწურვისგან. კავშირის შეფერხება სასტუმროს Wi-Fi-ზე შესანიშნავი ტესტია სასტუმროს Wi-Fi-ისთვის. მცირე დამოკიდებულება ცალკე შეკრული ნდობის საცავია, როგორიცაა certifi. თქვენი დესკტოპის ბრაუზერი არასოდეს არედაქტირებს ამ დამოკიდებულებას ძველი კონტეინერის შიგნით. განთავსებული პროცესი და მისი კონფიგურაცია წყვეტს, მოვიდა თუ არა შესწორება.

4:42 ეს არის ადგილი თქვენი განახლების გადასამოწმებლად. თუ ამის წაკითხვა გირჩევნიათ, ვიდრე ჩემგან მოსმენა, განსხვავება თქვენს შემოსულებში ხვდება ყოველ დილით, უფასოდ dailydiff.dev-ზე, ბმული ქვემოთ.

რა იღებს NEEDS REVIEW ბეჭედს?

4:51 ასე რომ, დღევანდელი ვერდიქტი არის NEEDS REVIEW. მსურს, რომ განთავსებული კლიენტის ნდობა შემოწმდეს, სანამ ვინმე ამ ინციდენტს დახურავს. გამოიწერეთ, დააჭირეთ ზარს და მითხარით კომენტარებში, თუ მას განსხვავებულად დააჭდებით. და ეს არის დღევანდელი განსხვავება. მე ვარ ნიკო Axrisi-დან. პასუხისმგებლობით გააერთიანეთ.

წყაროები

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health