eMudhra аралық CA компромисі: шолғыш блоктау тізімдері және орындалу уақытындағы сенім ақауы

Бұл бейне не туралы

• Бұзылған кілттер аралық қол қоюшыларға тиесілі. Түбірлік сенімсіздік түбірлік жеке кілттің бұзылғанын дәлелдемей, тізбекті жеңілдете алады.
• Шолғыштың шұғыл блоктау тізімі және қолданбаның жинақталған CA дүкені бөлек жаңарту жолдарын ұстануы мүмкін. Жұмыс істеп тұрған процесті және оның нақты сенім конфигурациясын тексеріңіз.
• Mozilla қалпына келтіруге болатын жеке кілттерді тәуелсіз растады. Есепте зардап шеккен аралықтар үшін CT жазбалары сипатталмаған; басқа клиенттерге қарсы нақты қате пайдалану белгісіз болып қалады.
• Негізгі шығарылымдар талқыланған тармақтар үшін certifi 2026.10.19 және Node 24.22.1 нұсқаларын тексереді. Арнайы CA бумалары және басқа орындалу уақытындағы тармақтар өз тексерулерін қажет етеді.
• Tor зерттеушісінің 333 релейлік есебі 20 қазанда жарияланған қазан айының басындағы оқиғаға қатысты. Шамамен он пайыз - бұл релей саны, ұсталған трафик өлшемі емес.
• Желінің уақытынан асып кетуі сертификатты тексеру бұзылған тізбекті қабылдамағанын дәлелдемейді. Тексеруді сақтаңыз және тасымалдау қателерін аутентификация қателерінен ажыратыңыз.

Аударылған транскрипция

Бастапқы ағылшын тіліндегі баяндамадан аударылған. Қолжетімді аудио және субтитрлерді YouTube басқарады.

Неліктен бекітілген шолғыш қолданбаны қауіпке душар етуі мүмкін?

0:00 eMudhra шолғыш түзетуі барлығы таза сияқты естіледі. Бұзылған сегіз қол қою кілті бағдарламалық жасақтаманы ескі сенім шешімдерімен қалдырады. Бұл бейнеде кім қол қоя алады? Неліктен клиенттер келіспейді? Ал қай жаңарту сіздің қолданбаңызға нақты жетеді? Бір кішкентай тәуелділік өзінің сенім тізімін сақтайды. Біз сіздің түзетуіңіздің келгенін шешетін процесске қайта ораламыз. Бүгін, сәрсенбі, жиырма бірінші қазан, және бұл The Daily Diff.

0:22 eMudhra - сертификаттық орган. Ол бағдарламалық жасақтаманың веб-сайттар мен қызметтерді аутентификациялауына көмектесетін цифрлық сертификаттарға қол қояды. Бұзылған кілттерге веб-байланыстар үшін пайдаланылған алтауы және бағдарламалық жасақтамаға қол қою үшін пайдаланылған екеуі кіреді. Аралық - сенімді түбір астындағы делегатталған қол қоюшы. Жұма күні Уэйн есімді тілші түбірлік бағдарламаларға дәлел жіберді. Сейсенбіге қарай, қоғамдық оқиғалар беті тазалауды түсіндіріп жатты. Бүгін әзірлеушілер өздерінің тамаша қалыпты қолданбасы қанша сенім көшірмесін жинағанын білуге мүмкіндік алады. Міне, қалыпты тізбек. Сайт сертификатты ұсынады, аралық оған қол қояды,

Аралық кілт нені рұқсат етеді?

0:49 және сіздің клиентіңіз оны бұрыннан сенетін түбірге дейін тізбекті ұстанады. Түбір - сіздің жергілікті бастапқы нүктеңіз. Аралықтың жеке кілтін кім басқарса, сол өкілеттікпен қол қоя алады. Математикалық тұрғыдан жарамды қолтаңбаның сенімсіз қол қоюшысы болуы мүмкін. Валидаторға компромисстен кейін сенімді қайтарудың жолы қажет. Уэйн хабарламаға: «Бізде проблема бар, Уэйн» деп қол қойды, әр кілтпен. Mozilla кілтті басқаруды тексерді, содан кейін кілттерді тәуелсіз түрде қалпына келтірді.

1:12 Шұғыл әрекет біреу кеңсе принтерінің түтіндеп жатқанын байқағандай естілетін сөйлемнен басталды. Қоғамдық есепте кілттердің дұрыс жасалмағаны және өткен жылдың сәуір айында жасалған сертификаттардан қалпына келтіруге болатыны айтылған. Басқа бағдарламалық жасақтамаға қарсы нақты қате пайдалану әлі белгісіз. Қалпына келтіруге болатын қол қою өкілеттігі ойдан шығарылған құрбандар тізімінсіз де өте маңызды.

Не дәлелденді және не белгісіз болып қалады?

1:22 Мұнда маңызды шектеу бар. Есепте ол аралықтар үшін сертификаттың ашықтық жазбалары табылған жоқ сол кезеңде. Онда ашықтықты қамтамасыз ететін шолғыштарға бұл жол арқылы шабуыл жасау мүмкін емес деп айтылған. Бұл қосымша шолғыш тексеруі тақырыптың жалғыз өзі неліктен суретті тым жоғары бағалайтынын түсіндіруге көмектеседі. eMudhra Mozilla-ға шамамен отыз мың сертификатты басқа тізбекке көшіру қажет екенін айтты. Бұлар - тазалау кезінде сертификаттарды ауыстыруға тиісті жұмыс істеп тұрған қызметтер. Бір жерде күнтізбелік шақыру өндірістік тәуелділікке айналды. Шолғыш жеткізушілері шұғыл блоктау тізімдерін таратады.

1:42 Есепте жұма күнгі Firefox және Chrome әрекеті, содан кейін Apple және Microsoft әрекеті тіркелген. Бұл клиенттер оның түбірін тани отырып, бұзылған аралықты қабылдамауы мүмкін. Бұл ереже қолданбаңыздың бумасынан бөлек жүреді. Кейбір клиенттер шұғыл жою ақпаратын тұтынбай, тізбекті сенімді түбірлерге қарсы тексереді. Орган жоюды жариялай алады, және сол клиент тізбекті қабылдауды жалғастыра алады. Есікке белгі ілу келуші белгілерді оқығанда жақсы жұмыс істейді. Mozilla кейбір Android профильдері іске қосу кезінде жаңартылған блоктау тізімін қолдана алмағанын айтады.

Неліктен шолғыш пен орындалу уақыты сәйкес келмейді?

2:03 Firefox 158.02 нұсқасында түзету шығарылды. Сондықтан шолғышты да жаңартып отырыңыз. Хабарландыру телефоныңызды инвентаризациялай алмайды. Клиенттерде тар блоктау болмаған кезде техникалық қызмет көрсетушілер сенім тірегін алып тастай алады. Mozilla тақырыбы emSign ECC түбірінің, үшінші буынның шұғыл сенімсіздігін сипаттайды. Сенім қоймасынан түбірді алып тастау, тіпті түбірдің жеке кілтінің өзі ешқашан бұзылмаса да, оған сүйенетін тізбектерді блоктайды. Python-ның соңғы certifi шығарылымы - бұл бір кейінгі жаңарту. Оның коммиті бұрынғы жоюдан кейін зардап шекпеген emSign түбірлерін де қалпына келтіреді.

2:27 Компанияның атын көрсететін барлық нәрсені жою - бұл қолдау көрсетілетін пакеттің нашар алмастыруы. Сіз қауіпті тізбектің қабылданбауын және заңды клиенттердің әлі де жұмыс істеуін қалайсыз. Шығарылым тарихы екі шешімді де сақтайды. Қауіпсіздікті тазалаудың шұғыл, дәл және түскі ас кезінде бұзылған кез келген қызмет үшін кінәлі болу сияқты тартымды жұмысы бар. Node-ның жиырма төрт нүкте жиырма екі нүкте бір нұсқасы жаңартылған түбірлермен бүгін шығарылды. Өз тармағыңыздың консультациясын және нақты CA конфигурациясын тексеріңіз. Арнайы бума процестің қай сенім қоймасын қолданатынын өзгерте алады. Tor-да зерттеуші кеше үш жүз отыз үш бұзылған шығу релейлері туралы есеп жариялады.

2:54 Ұстау осы айдың басында басталды. Релейлер белгіленіп, бірнеше күннен кейін, жазба келгенге дейін өшірілді.

Python және Node-ға қандай жаңартулар жетті?

3:01 SSH зерттеушіге сервердің идентификаторы өзгергенін ескертті. Ол бұл туралы Tor желісінің денсаулық сақтау тобына хабарлады. Олардың оператор хабарламасы ұстау туралы есептерді растайды. Бұл ескерту аутентификация жасауы керек ыңғайсыз нәрсені нақты жасап жатты. Шамамен он пайыз әртүрлі сыйымдылықтары бар релейлерді санады, трафик үлесін өлшенбеген қалдырды. Tor маршруттау және SSH сервер идентификаторының бөлек жұмыстары бар.

3:26 Өзгерген хост кілтін оны қабылдап, кірмес бұрын сенімді арна арқылы тексеріңіз. Қолданбаңыздағы кері оралу, жұмыс істеп тұрған контейнерден немесе виртуалды ортадан бастаңыз. Ол нақты қолданатын CA бумасын тауып, тиісті қолдау көрсетілетін жаңартуды қолданыңыз.

Tor хост-кілтінің ескертуі нені ұстады?

3:36 Орналастырылған процесті қайта құрыңыз және қайта іске қосыңыз, ол өзгертілген сенім материалын жүктей алатындай етіп. Клиенттің нақты ортасында техникалық қызмет көрсетушілердің қоғамдық сынақ тізбектерін пайдаланыңыз. Сертификат қатесін желінің уақытынан асып кетуінен бөлек ұстаңыз. Қонақүй Wi-Fi желісіндегі сәтсіз қосылым - бұл қонақүй Wi-Fi желісін тексерудің тамаша тәсілі. Кішкентай тәуелділік - бұл certifi сияқты бөлек жинақталған сенім қоймасы. Сіздің жұмыс үстеліңіздің шолғышы ескі контейнер ішіндегі сол тәуелділікті ешқашан өзгертпейді. Орналастырылған процесс және оның конфигурациясы түзетудің келгенін шешеді. Бұл сіздің жаңартуыңызды тексеруге болатын жер.

3:57 Егер сіз мұны менің айтқанымнан гөрі оқығыңыз келсе, diff әр таңда пошта жәшігіңізге келеді, daily diff dot dev сайтында тегін, сілтеме төменде. Сонымен, бүгінгі шешім - NEEDS REVIEW. Мен осы оқиғаны ешкім жаппас бұрын, орналастырылған клиенттің сенімін тексеруді қалаймын. Жазылыңыз, қоңырауды басыңыз және егер сіз оны басқаша мөрлеген болсаңыз, түсініктемелерде айтыңыз. Бүгінгі diff осы.

Орналастырылған түзетуді қалай тексересіз?

4:12 Мен Axrisi-ден Никомын. Жауапкершілікпен біріктіріңіз. eMudhra аралық CA компромисі: шолғыш блоктау тізімдері және орындалу уақытындағы сенім ақауы eMudhra-ның сегіз аралық қол қою кілті бұзылды, оның ішінде алтауы TLS үшін, екеуі кодқа қол қою үшін пайдаланылды. Оқиға Mozilla растауынан, шолғышты блоктаудан және орналастырылған қолданбаның өзінің сенім конфигурациясын тексеру қажеттілігін түсіндіру үшін кейінгі жаңартулардан кейін орын алады. Бөлек Tor есебі SSH хост-идентификаторы ескертуінің өз жұмысын атқарғанын көрсетеді. eMudhra-ның сегіз аралық қол қою кілті бұзылды, оның ішінде алтауы TLS үшін, екеуі кодқа қол қою үшін пайдаланылды. Оқиға Mozilla растауынан, шолғышты блоктаудан және орналастырылған қолданбаның өзінің сенім конфигурациясын тексеру қажеттілігін түсіндіру үшін кейінгі жаңартулардан кейін орын алады. Бөлек Tor есебі SSH хост-идентификаторы ескертуінің өз жұмысын атқарғанын көрсетеді. Бұзылған кілттер аралық қол қоюшыларға тиесілі. Түбірлік сенімсіздік түбірлік жеке кілттің бұзылғанын дәлелдемей, тізбекті жеңілдете алады. Шолғыштың шұғыл блоктау тізімі және қолданбаның жинақталған CA дүкені бөлек жаңарту жолдарын ұстануы мүмкін. Жұмыс істеп тұрған процесті және оның нақты сенім конфигурациясын тексеріңіз. Mozilla қалпына келтіруге болатын жеке кілттерді тәуелсіз растады. Есепте зардап шеккен аралықтар үшін CT жазбалары сипатталмаған; басқа клиенттерге қарсы нақты қате пайдалану белгісіз болып қалады.

4:42 Негізгі шығарылымдар талқыланған тармақтар үшін certifi 2026.10.19 және Node 24.22.1 нұсқаларын тексереді. Арнайы CA бумалары және басқа орындалу уақытындағы тармақтар өз тексерулерін қажет етеді. Tor зерттеушісінің 333 релейлік есебі 20 қазанда жарияланған қазан айының басындағы оқиғаға қатысты. Шамамен он пайыз - бұл релей саны, ұсталған трафик өлшемі емес. Желінің уақытынан асып кетуі сертификатты тексеру бұзылған тізбекті қабылдамағанын дәлелдемейді. Тексеруді сақтаңыз және тасымалдау қателерін аутентификация қателерінен ажыратыңыз.

NEEDS REVIEW мөрін не алады?

4:51 Неліктен бекітілген шолғыш қолданбаны қауіпке душар етуі мүмкін? Аралық кілт нені рұқсат етеді? Не дәлелденді және не белгісіз болып қалады? Неліктен шолғыш пен орындалу уақыты сәйкес келмейді? Қай жаңартулар Python және Node-ға жетті? Tor хост-кілтінің ескертуі нені ұстады?

Дереккөздер

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health