eMudhra 중간 CA 침해: 브라우저 차단 목록 및 런타임 신뢰 격차

이 동영상에서 다루는 내용

• 손상된 키는 중간 서명자에게 속합니다. 루트 개인 키가 손상되었음을 증명하지 않고도 루트 불신으로 체인을 완화할 수 있습니다.
• 브라우저의 비상 차단 목록과 애플리케이션의 번들 CA 저장소는 별도의 업데이트 경로를 따를 수 있습니다. 실행 중인 프로세스와 실제 신뢰 구성을 확인하십시오.
• Mozilla는 복구 가능한 개인 키를 독립적으로 확인했습니다. 보고서에는 영향을 받는 중간자(intermediates)에 대한 CT 항목이 설명되어 있지 않으며, 다른 클라이언트에 대한 실제 오용 여부는 여전히 알려지지 않았습니다.
• 주요 릴리스는 논의된 브랜치에 대해 certifi 2026.10.19 및 Node 24.22.1을 확인합니다. 사용자 정의 CA 번들 및 기타 런타임 브랜치는 자체 검사가 필요합니다.
• Tor 연구원의 333개 릴레이 계정은 10월 20일에 게시된 10월 초 사건에 관한 것입니다. 대략 10%는 릴레이 수이며, 가로챈 트래픽 측정이 아닙니다.
• 네트워크 시간 초과만으로는 인증서 유효성 검사가 손상된 체인을 거부했음을 입증하지 못합니다. 전송 오류와 인증 실패를 구분하여 확인을 유지하십시오.

번역된 스크립트

원래 영어 내레이션에서 번역되었습니다. 사용 가능한 오디오 및 캡션은 YouTube에서 제어합니다.

고정된 브라우저가 앱을 노출시킬 수 있는 이유는 무엇입니까?

0:00 eMudhra 브라우저 수정은 모든 것이 정상이라는 소식처럼 들립니다. 8개의 손상된 서명 키는 여전히 오래된 신뢰 결정을 내리는 소프트웨어를 남깁니다. 이 비디오에서 누가 서명할 수 있습니까? 클라이언트가 동의하지 않는 이유는 무엇입니까? 그리고 어떤 업데이트가 실제로 앱에 도달합니까? 하나의 작은 종속성은 자체 신뢰 목록을 유지합니다. 수정 사항이 도착했는지 여부를 결정하는 프로세스로 돌아갈 것입니다. 10월 21일 수요일, The Daily Diff입니다.

0:22 eMudhra는 인증 기관입니다. 이것은 소프트웨어가 웹사이트를 인증하고 서비스를 인증하는 데 도움이 되는 디지털 인증서에 서명합니다. 서비스. 손상된 키에는 웹 연결에 사용된 6개와 소프트웨어 서명에 사용된 2개가 포함됩니다. 소프트웨어 서명. 중간자(intermediate)는 신뢰할 수 있는 루트 아래의 위임된 서명자입니다. 금요일에 웨인이라는 기자가 루트 프로그램에 증거를 보냈습니다. 화요일까지 공개 사건 페이지에는 정리 작업이 설명되어 있었습니다. 오늘, 개발자들은 완벽하게 정상적인 애플리케이션이 얼마나 많은 신뢰 사본을 수집했는지 발견하게 될 것입니다. 정상적인 애플리케이션이 수집한 신뢰 사본이 몇 개인지 발견하게 됩니다.

중간 키는 무엇을 승인합니까?

0:49 여기에 일반적인 체인이 있습니다. 사이트는 인증서를 제시하고, 중간자가 서명하며, 클라이언트는 이미 신뢰하는 루트로 체인을 따라갑니다. 루트는 로컬 시작점입니다. 중간자의 개인 키를 제어하는 사람은 누구나 해당 권한으로 서명할 수 있습니다. 수학적으로 유효한 서명이라도 완전히 신뢰할 수 없는 서명자를 가질 수 있습니다. 유효성 검사기는 침해 후 신뢰를 철회할 방법이 필요합니다. 웨인은 각 키로 "여기에 문제가 있습니다, 웨인"이라는 메시지에 서명했습니다.

1:12 각 키로. Mozilla는 키 제어를 확인한 후 독립적으로 키를 복구했습니다. 비상 대응은 누군가 사무실 프린터에서 연기가 나는 것을 알아차린 듯한 문장으로 시작되었습니다. 사무실 프린터에서 연기가 나는 것을 알아차린 듯한 문장으로 시작되었습니다.

무엇이 입증되었고, 무엇이 알려지지 않았습니까?

1:22 공개 보고서에 따르면 키는 작년 4월에 생성된 인증서에서 잘못 생성되어 복구할 수 있었습니다. 작년 4월에 생성된 인증서에서 잘못 생성되어 복구할 수 있었습니다. 다른 소프트웨어에 대한 실제 오용 여부는 여전히 알려지지 않았습니다. 복구 가능한 서명 권한은 가상의 피해자 목록 없이도 충분히 긴급합니다. 여기에는 중요한 한계가 있습니다. 보고서는 해당 기간 동안 해당 중간자(intermediates)에 대한 인증서 투명성 항목을 찾지 못했습니다. 해당 중간자(intermediates)에 대한 투명성 항목을 찾지 못했습니다. 해당 기간 동안.

1:42 투명성을 시행하는 브라우저는 이 경로를 통해 공격받을 수 없었다고 합니다. 이 경로. 이 추가 브라우저 확인은 헤드라인만으로 상황을 과장하는 이유를 설명하는 데 도움이 됩니다. 상황을 과장합니다. eMudhra는 Mozilla에 약 3만 개의 인증서가 다른 체인으로 마이그레이션되어야 한다고 말했습니다. 다른 체인. 이는 정리 작업 중에 소유자가 인증서를 교체해야 하는 작동 중인 서비스입니다. 정리 작업 중에. 어딘가에서 캘린더 초대가 생산 종속성이 되었습니다.

브라우저와 런타임이 동의하지 않는 이유는 무엇입니까?

2:03 브라우저 공급업체는 비상 차단 목록을 배포합니다. 보고서는 금요일에 Firefox 및 Chrome 조치, 이어서 Apple 및 Microsoft의 조치를 기록합니다. Apple 및 Microsoft. 이러한 클라이언트는 손상된 중간자를 거부하면서 해당 루트를 인식할 수 있습니다. 루트. 이 규칙은 애플리케이션의 번들과 별도로 전송됩니다. 일부 클라이언트는 비상 해지 정보를 소비하지 않고 신뢰할 수 있는 루트에 대해 체인을 확인합니다. 해지 정보를 소비하지 않고. 기관은 해지를 게시할 수 있으며, 해지를 게시할 수 있으며, 해당 클라이언트는 계속해서 체인을 수락할 수 있습니다.

2:27 방문자가 표지판을 읽을 때 문에 표지판을 붙이는 것이 더 효과적입니다. Mozilla는 일부 Android 프로필이 시작 시 업데이트된 차단 목록을 적용하지 못했다고 말합니다. 시작 시. Firefox 158.02에서 수정 사항이 제공되었습니다. 그러니 브라우저도 최신 상태로 유지하십시오. 발표는 귀하의 휴대폰을 재고 조사할 수 없습니다. 클라이언트가 더 좁은 차단을 사용하지 않을 경우 유지 관리자는 신뢰 앵커를 제거할 수 있습니다. Mozilla의 스레드는 emSign ECC 루트, 3세대의 비상 불신을 설명합니다. 3세대. 신뢰 저장소에서 루트를 제거하면 해당 루트에 의존하는 체인이 차단됩니다.

2:54 루트의 개인 키 자체가 손상되지 않은 경우에도 마찬가지입니다. Python의 최신 certifi 릴리스는 하나의 다운스트림 업데이트입니다.

Python과 Node에는 어떤 업데이트가 적용되었습니까?

3:01 해당 커밋은 또한 이전 제거 후 영향을 받지 않은 emSign 루트를 복원합니다. 회사의 이름이 붙은 모든 것을 삭제하는 것은 유지 관리되는 패키지를 대체하는 나쁜 방법입니다. 패키지. 위험한 체인이 거부되고 합법적인 고객이 여전히 작동하기를 원합니다. 고객은 여전히 작동하기를 원합니다. 릴리스 기록은 두 가지 결정을 모두 보존합니다. 보안 정리 작업은 긴급하고, 정확하며, 점심시간에 어떤 서비스가 중단되든 비난받는 화려한 작업입니다. 점심시간에 중단되는 모든 서비스에 대한 비난을 받는 화려한 작업입니다. Node 버전 24.22.1이 오늘 업데이트된 루트와 함께 출시되었습니다.

3:26 루트. 자신의 브랜치 권고 및 실제 CA 구성을 확인하십시오. 사용자 정의 번들은 프로세스가 사용하는 신뢰 저장소를 변경할 수 있습니다. Tor에서 한 연구원이 어제 333개의 손상된 종료 릴레이에 대한 보고서를 발표했습니다.

Tor 호스트 키 경고는 무엇을 잡았습니까?

3:36 33개의 손상된 종료 릴레이. 가로채기는 이달 초에 시작되었습니다. 릴레이는 며칠 후 플래그가 지정되어 차단되었고, 보고서는 나중에 도착했습니다. SSH는 연구원에게 서버의 ID가 변경되었다고 경고했습니다. 그는 Tor의 네트워크 상태 팀에 보고했습니다. 운영자 공지는 가로채기 보고서를 확인합니다. 그 경고는 정확히 인증이 해야 할 불편한 일을 하고 있었습니다. 인증이 해야 할 불편한 일을 하고 있었습니다.

3:57 능력이 다른 릴레이를 대략 10% 정도 계산하여 트래픽 점유율은 측정되지 않았습니다. 트래픽 점유율은 측정되지 않았습니다. Tor 라우팅과 SSH 서버 ID는 별도의 작업을 수행합니다. 변경 된 호스트 키를 신뢰할 수있는 채널을 통해 확인한 다음 수락하고 로그인하십시오. 신뢰할 수 있는 채널을 통해 확인한 다음 수락하고 로그인하십시오. 로그인하십시오. 앱으로 돌아가서 실행 중인 컨테이너 또는 가상 환경부터 시작하십시오.

배포된 수정 사항을 어떻게 확인합니까?

4:12 실제로 사용하는 CA 번들을 찾아 관련 유지 관리 업데이트를 적용하십시오. 배포된 프로세스를 재구축하고 다시 시작하여 변경된 신뢰 자료를 로드할 수 있도록 하십시오. 자료. 클라이언트의 실제 환경에서 유지 관리자의 공개 테스트 체인을 사용하십시오. 환경. 인증서 오류를 네트워크 시간 초과와 분리하십시오. 호텔 Wi-Fi에서 연결 실패는 호텔 Wi-Fi에 대한 훌륭한 테스트입니다. 작은 종속성은 certifi와 같이 별도로 번들로 제공되는 신뢰 저장소입니다. certifi와 같이. 데스크톱 브라우저는 오래된 컨테이너 내부의 해당 종속성을 절대 편집하지 않습니다. 오래된 컨테이너 내부의 해당 종속성을 절대 편집하지 않습니다. 배포된 프로세스 및 해당 구성은 수정 사항이 도착했는지 여부를 결정합니다.

4:42 도착했는지 여부. 그것이 업데이트를 확인할 장소입니다. 제가 말하는 것을 듣는 것보다 이 내용을 읽고 싶다면, 매일 아침 메일함에 The Daily Diff가 무료로 도착합니다. 무료로 the daily diff dot dev에서, 아래 링크에서.

어떤 항목이 NEEDS REVIEW 스탬프를 받습니까?

4:51 그래서 오늘의 평결은 NEEDS REVIEW입니다. 이 사건을 누군가 종결하기 전에 배포된 클라이언트의 신뢰를 확인해야 합니다. 구독하고, 알림을 켜고, 다르게 평가했을지 댓글로 알려주세요. 다르게. 오늘 Diff는 여기까지입니다. 저는 Axrisi의 Niko입니다. 책임감 있게 병합하세요.

출처

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health