eMudhra tarpininkaujančio CA kompromisas: naršyklių juodieji sąrašai ir vykdymo laiko pasitikėjimo spraga

Kas aptariama šiame vaizdo įraše

• Pažeisti raktai priklauso tarpiniams pasirašantiems asmenims. Šaknies nepatikimumas gali sušvelninti grandinę, neįrodant, kad šaknies privatus raktas buvo pažeistas.
• Naršyklės avarinis blokavimo sąrašas ir programos sukomplektuota CA saugykla gali sekti atskirais atnaujinimo keliais. Patikrinkite veikiantį procesą ir jo faktinę pasitikėjimo konfigūraciją.
• „Mozilla“ nepriklausomai patvirtino atkuriamus privačius raktus. Ataskaitoje nenurodomi jokie CT įrašai apie paveiktus tarpininkus; faktinis piktnaudžiavimas prieš kitus klientus lieka nežinomas.
• Pirminiai leidimai patikrina certifi 2026.10.19 ir Node 24.22.1 aptariamoms šakoms. Pasirinktiniai CA paketai ir kitos vykdymo laiko šakos reikalauja atskirų patikrinimų.
• „Tor“ tyrėjo 333 relių paskyra susijusi su ankstesniu spalio mėnesio incidentu, paskelbtu spalio 20 d. Maždaug dešimt procentų yra relių skaičius, o ne perimto srauto matavimas.
• Vien tik tinklo delsos laikas neįrodo, kad sertifikato patvirtinimas atmetė pažeistą grandinę. Išsaugokite patvirtinimą ir atskirkite transporto klaidas nuo autentifikavimo klaidų.

Išverstas transkriptas

Išversta iš originalo anglų kalbos. Galimas garso ir subtitrų valdymas per YouTube.

Kodėl sutvarkyta naršyklė gali palikti programą pažeidžiamą?

0:00 „eMudhra“ naršyklės pataisa skamba kaip viskas gerai. Aštuoni pažeisti pasirašymo raktai vis tiek palieka programinę įrangą su pasenusiais pasitikėjimo sprendimais. Šiame vaizdo įraše, kas gali pasirašyti? Kodėl klientai nesutaria? Ir kuris atnaujinimas iš tikrųjų pasiekia jūsų programą? Viena maža priklausomybė saugo savo pasitikėjimo sąrašą. Grįšime prie proceso, kuris nusprendžia, ar jūsų pataisa atvyko. Trečiadienis, spalio dvidešimt pirmoji, ir tai yra „The Daily Diff“.

0:22 „eMudhra“ yra sertifikatų autoritetas. Ji pasirašo skaitmeninius sertifikatus, kurie padeda programinei įrangai autentifikuoti svetaines ir paslaugas. Pažeisti raktai apima šešis, naudojamus žiniatinklio ryšiams, ir du, skirtus programinės įrangos pasirašymui. Tarpininkas yra deleguotas pasirašytojas, esantis po patikimu šaknimi. Penktadienį, reporteris, vardu Wayne, nusiuntė įrodymus šaknų programoms. Antradienį, viešajame incidento puslapyje buvo aiškinamas valymas. Šiandien, kūrėjai turi sužinoti, kiek pasitikėjimo kopijų surinko jų visiškai normali programa.

Ką leidžia tarpinis raktas?

0:49 Štai įprasta grandinė. Svetainė pateikia sertifikatą, tarpininkas jį pasirašo, ir jūsų klientas seka grandine iki šaknies, kuria jau pasitiki. Šaknis yra jūsų vietinis pradžios taškas. Kas kontroliuoja tarpininko privatų raktą, gali pasirašyti pagal tą autoritetą. Matematiškai galiojantis parašas gali turėti visiškai nepatikimą pasirašytoją. Patvirtintojas turi turėti būdą atšaukti pasitikėjimą po kompromiso. Wayne pasirašė pranešimą: „Turime problemą, Wayne“,

1:12 su kiekvienu raktu. „Mozilla“ patvirtino raktų kontrolę, tada nepriklausomai atgavo raktus. Avarinis reagavimas prasidėjo sakiniu, kuris skamba taip, tarsi kažkas pastebėjo, kad biuro spausdintuvas rūksta.

Kas įrodyta, ir kas lieka nežinoma?

1:22 Viešojoje ataskaitoje teigiama, kad raktai buvo sugeneruoti neteisingai ir juos galima atkurti iš sertifikatų, sukurtų praėjusių metų balandį. Faktinis piktnaudžiavimas prieš kitą programinę įrangą vis dar nežinomas. Atkuriamas pasirašymo autoritetas yra pakankamai skubus be išgalvoto aukų sąrašo. Čia yra svarbus apribojimas. Ataskaitoje nerasta jokių sertifikatų skaidrumo įrašų tiems tarpininkams per tą laikotarpį.

1:42 Teigiama, kad naršyklės, kurios užtikrina skaidrumą, negalėjo būti atakuotos per šį maršrutą. Tas papildomas naršyklės patikrinimas padeda paaiškinti, kodėl vien tik antraštė iškreipia vaizdą. „eMudhra“ pranešė „Mozilla“, kad apie trisdešimt tūkstančių sertifikatų reikėjo perkelti į kitą grandinę. Tai veikiančios paslaugos, kurių savininkai privalo pakeisti sertifikatus valymo metu. Kažkur kalendoriaus kvietimas ką tik tapo gamybos priklausomybe.

Kodėl naršyklė ir vykdymo laikas nesutaria?

2:03 Naršyklių tiekėjai platina avarinius blokavimo sąrašus. Ataskaitoje užfiksuoti „Firefox“ ir „Chrome“ veiksmai penktadienį, po jų – „Apple“ ir „Microsoft“. Šie klientai gali atmesti pažeistą tarpinį elementą, atpažindami jo šaknį. Ši taisyklė keliauja atskirai nuo jūsų programos paketo. Kai kurie klientai tikrina grandinę pagal patikimas šaknis, nenaudodami avarinės atšaukimo informacijos. Autoritetas gali paskelbti atšaukimą, ir tas klientas gali toliau priimti grandinę.

2:27 Pakabinti ženklą ant durų veikia geriau, kai lankytojas skaito ženklus. „Mozilla“ teigia, kad kai kurie „Android“ profiliai nepritaikė atnaujinto blokavimo sąrašo paleidžiant. Pataisymas buvo išleistas „Firefox 158.02“. Taigi, naršyklę taip pat atnaujinkite. Skelbimas negali inventorizuoti jūsų telefono. Prižiūrėtojai gali pašalinti pasitikėjimo inkarą, kai klientams trūksta griežtesnio blokavimo. „Mozilla“ diskusijų gijoje aprašomas avarinių „emSign ECC“ šaknų, trečiosios kartos, nepasitikėjimas, pašalinus šaknį iš pasitikėjimo saugyklos blokuojamos grandinės, kurios ja remiasi,

2:54 net jei pačios šaknies privatus raktas niekada nebuvo pažeistas. Naujausias „Python“ „certifi“ leidimas yra vienas iš tolesnių atnaujinimų.

Kokie atnaujinimai pasiekė Python ir Node?

3:01 Jo patvirtinimas taip pat atkuria nepaveiktas „emSign“ šaknis po ankstesnio pašalinimo. Visko, kas turi įmonės pavadinimą, ištrynimas yra prastas pakeitimas už prižiūrimą paketą. Jūs norite, kad pavojinga grandinė būtų atmesta, o teisėti klientai vis dar dirbtų. Išleidimo istorija išsaugo abu sprendimus. Saugumo valymas turi žavingą užduotį – būti skubus, tikslus ir kaltinamas už bet kurią paslaugą, kuri sugenda per pietus. „Node“ versija 24.22.1 buvo išleista šiandien su atnaujintomis

3:26 šaknimis. Patikrinkite savo šakos patarimą ir faktinę CA konfigūraciją. Pasirinktinis paketas gali pakeisti, kurią patikimumo saugyklą naudoja procesas. „Tor“ tyrėjas vakar paskelbė ataskaitą apie tris šimtus trisdešimt

Ką pagavo Tor pagrindinio kompiuterio rakto įspėjimas?

3:36 trys pažeisti išėjimo retransliatoriai. Perėmimas prasidėjo šio mėnesio pradžioje. Relės buvo pažymėtos ir išjungtos po kelių dienų, kol nebuvo atsiųstas rašytinis pranešimas. SSH įspėjo tyrėją, kad serverio tapatybė pasikeitė. Jis pranešė apie tai „Tor“ tinklo sveikatos komandai. Jų operatoriaus pranešimas patvirtina pranešimus apie perėmimą. Tas įspėjimas darė būtent nepatogų dalyką, kurį turėtų daryti autentifikavimas.

3:57 Maždaug dešimt procentų suskaičiavo reles su skirtingais pajėgumais, palikdamas neįvertintą srauto dalį. „Tor“ maršrutizavimas ir SSH serverio tapatybė atlieka atskiras užduotis. Prieš priimdami ir prisijungdami, patikrinkite pakeistą pagrindinio kompiuterio raktą per patikimą kanalą. prisijungti. Grįžkite į savo programą, pradėkite nuo veikiančio konteinerio ar virtualios aplinkos. Grįžkite į savo programą, pradėkite nuo veikiančios talpyklos arba virtualios aplinkos.

Kaip patikrinti įdiegtą pataisą?

4:12 Raskite CA paketą, kurį ji iš tikrųjų naudoja, ir pritaikykite atitinkamą prižiūrimą naujinimą. Perkonstruokite ir iš naujo paleiskite įdiegtą procesą, kad jis galėtų įkelti pakeistą pasitikėjimo medžiagą. Naudokite prižiūrėtojų viešas testavimo grandines kliento realioje aplinkoje. Atskirkite sertifikato klaidą nuo tinklo delsos. Nepavykęs prisijungimas prie viešbučio „Wi-Fi“ yra puikus viešbučio „Wi-Fi“ patikrinimas. Maža priklausomybė yra atskirai sujungta pasitikėjimo saugykla, tokia kaip certifi. Jūsų darbalaukio naršyklė niekada neredaguoja tos priklausomybės sename konteineryje. Įdiegtas procesas ir jo konfigūracija sprendžia, ar pataisymas

4:42 atėjo. Tai yra vieta, kurioje reikia patvirtinti savo atnaujinimą. Jei norite tai skaityti, o ne girdėti, kaip aš tai sakau, skirtumas pasieks jūsų pašto dėžutę kiekvieną rytą, nemokamai daily diff dot dev, nuoroda žemiau.

Kas gauna „NEEDS REVIEW“ antspaudą?

4:51 Taigi šiandienos verdiktas yra REIKALINGAS PERŽIŪRA. Noriu, kad būtų patikrintas diegto kliento pasitikėjimas, prieš kam nors uždarant šį incidentą. Prenumeruokite, paspauskite varpelį ir pasakykite man komentaruose, ar būtumėte antspaudavę kitaip. kitaip. Ir tai yra šiandienos skirtumas. Aš esu Niko iš Axrisi. Sujungti atsakingai.

Šaltiniai

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health