eMudhra starpniek CA kompromitācija: pārlūkprogrammu melnie saraksti un izpildlaika uzticamības plaisa

Ko aptver šis video

• Kompromitētās atslēgas pieder starpnieku parakstītājiem. Saknes neuzticēšanās var mazināt ķēdi, nepierādot, ka saknes privātā atslēga tika kompromitēta.
• Pārlūkprogrammas avārijas bloķēšanas saraksts un lietojumprogrammas iebūvētais CA veikals var sekot atsevišķiem atjaunināšanas ceļiem. Pārbaudiet darbojošos procesu un tā faktisko uzticamības konfigurāciju.
• Mozilla neatkarīgi apstiprināja atjaunojamās privātās atslēgas. Ziņojumā nav aprakstīti nekādi CT ieraksti attiecīgajiem starpniekiem; faktiskā ļaunprātīga izmantošana pret citiem klientiem joprojām nav zināma.
• Primārie izlaidumi pārbauda certifi 2026.10.19 un Node 24.22.1 apspriestajām zarām. Pielāgotas CA pakotnes un citas izpildlaika zaru versijas ir jāpārbauda atsevišķi.
• Tor pētnieka 333 releju konts attiecas uz oktobra sākumā notikušu incidentu, kas publicēts 20. oktobrī. Aptuveni desmit procenti ir releju skaits, nevis pārtvertas datplūsmas mērījums.
• Tikai tīkla taimauts neliecina, ka sertifikāta validācija noraidīja kompromitētu ķēdi. Saglabājiet verifikāciju un atšķiriet transporta kļūdas no autentifikācijas kļūmēm.

Tulkotais transkripts

Tulkojums no oriģinālā angļu stāstījuma. Pieejamais audio un subtitri tiek kontrolēti no YouTube.

Kāpēc fiksēta pārlūkprogramma var atstāt lietotni neaizsargātu?

0:00 eMudhra pārlūkprogrammas labojums izklausās kā viss ir kārtībā. Astoņas kompromitētas parakstīšanas atslēgas joprojām atstāj programmatūru ar novecojušiem uzticamības lēmumiem. Šajā videoklipā, kas var parakstīt? Kāpēc klienti nav vienisprātis? Un kurš atjauninājums faktiski sasniedz jūsu lietotni? Viena maza atkarība saglabā savu uzticamības sarakstu. Mēs atgriezīsimies pie procesa, kas lemj, vai jūsu labojums ir ieradies. Ir trešdiena, divdesmit pirmais oktobris, un tas ir The Daily Diff.

0:22 eMudhra ir sertifikātu iestāde. Tā paraksta digitālos sertifikātus, kas palīdz programmatūrai autentificēt vietnes un pakalpojumus. Kompromitētās atslēgas ietver sešas, ko izmantoja tīmekļa savienojumiem, un divas, ko izmantoja programmatūras parakstīšanai. Starpnieks ir deleģēts parakstītājs zem uzticamas saknes. Piektdien reportieris vārdā Veins nosūtīja pierādījumus saknes programmām. Līdz otrdienai publiskajā incidentu lapā tika skaidrots tīrīšanas process. Šodien izstrādātāji uzzina, cik daudz uzticamības kopiju ir savākusi viņu pilnīgi normālā lietojumprogramma.

Ko atļauj starpnieku atslēga?

0:49 Šeit ir parastā ķēde. Vietne uzrāda sertifikātu, starpnieks to paraksta, un jūsu klients seko ķēdei līdz saknei, kurai tas jau uzticas. Sakne ir jūsu vietējais sākumpunkts. Tas, kurš kontrolē starpnieka privāto atslēgu, var parakstīt ar šo autoritāti. Matemātiski derīgs paraksts var būt ar pilnīgi neuzticamu parakstītāju. Validētājam ir nepieciešams veids, kā atsaukt uzticību pēc kompromitācijas. Veins parakstīja ziņojumu, Mums šeit ir problēma, Vein,

1:12 ar katru atslēgu. Mozilla pārbaudīja atslēgu kontroli, pēc tam neatkarīgi atguva atslēgas. Avārijas reakcija sākās ar teikumu, kas izklausās tā, it kā kāds būtu pamanījis, ka biroja printeris dūmo.

Kas ir pierādīts, un kas paliek nezināms?

1:22 Publiskajā ziņojumā teikts, ka atslēgas tika ģenerētas nepareizi un tās varēja atgūt no sertifikātiem, kas izveidoti pagājušā gada aprīlī. Faktiska ļaunprātīga izmantošana pret citu programmatūru joprojām nav zināma. Atjaunojama parakstīšanas autoritāte ir pietiekami steidzama arī bez izdomāta upuru saraksta. Šeit ir svarīgs ierobežojums. Ziņojumā nav atrasts sertifikāts pārredzamības ieraksti šiem starpniekiem tajā periodā.

1:42 Tas norāda, ka pārlūkprogrammas, kas nodrošina pārredzamību, nevarēja tikt uzbrukta, izmantojot šo ceļu. Šī papildu pārlūkprogrammas pārbaude palīdz izskaidrot, kāpēc tikai virsraksts pārvērtē situāciju. eMudhra informēja Mozilla, ka aptuveni trīsdesmit tūkstošiem sertifikātu bija nepieciešama migrācija uz citu ķēdi. Tie ir funkcionējoši pakalpojumi, kuru īpašniekiem tīrīšanas laikā ir jāaizstāj sertifikāti. tīrīšanas laikā. Kaut kur kalendāra uzaicinājums tikko kļuva par ražošanas atkarību.

Kāpēc pārlūkprogramma un izpildlaiks nav vienisprātis?

2:03 Pārlūkprogrammu pārdevēji izplata avārijas bloķēšanas sarakstus. Ziņojumā fiksēta Firefox un Chrome darbība piektdien, kam sekoja Apple un Microsoft. Šie klienti var noraidīt kompromitēto starpnieku, vienlaikus atpazīstot tā sakni. Šis noteikums ceļo atsevišķi no jūsu lietojumprogrammas pakotnes. Daži klienti pārbauda ķēdi pret uzticamām saknēm, neizmantojot avārijas atsaukšanas informāciju. Iestāde var publicēt atsaukumu, un šis klients var turpināt pieņemt ķēdi.

2:27 Zīmes uz durvīm darbojas labāk, ja apmeklētājs lasa zīmes. Mozilla saka, ka daži Android profili nepiemēroja atjaunināto bloķēšanas sarakstu startēšanas laikā. Labojums tika izdots Firefox versijā viens piecdesmit astoņi punkts nulle divi. Tāpēc arī pārlūkprogramma ir jātur atjaunināta. Paziņojums nevar inventarizēt jūsu tālruni. Uzturētāji var noņemt uzticamības enkuru, ja klientiem trūkst šaurākas bloķēšanas. Mozilla pavedienā aprakstīta avārijas neuzticēšanās emSign ECC saknei, trešajai paaudzei. Saknes noņemšana no uzticamības krātuves bloķē ķēdes, kas balstās uz

2:54 to, pat ja pati saknes privātā atslēga nekad netika kompromitēta. Python jaunākais certifi izlaidums ir viens pakārtots atjauninājums.

Kādi atjauninājumi sasniedza Python un Node?

3:01 Tā apstiprinājums arī atjauno neietekmētās emSign saknes pēc iepriekšējas noņemšanas. Visu, kas nes uzņēmuma nosaukumu, dzēšana ir slikts aizstājējs uzturētajai pakotnei. Jūs vēlaties, lai bīstamā ķēde tiktu noraidīta un likumīgi klienti joprojām strādā. Izlaiduma vēsture saglabā abus lēmumus. Drošības tīrīšanai ir glamūrīgs uzdevums būt steidzamai, precīzai un vainojamai par jebkuru pakalpojumu, kas salūst pusdienu laikā. Node versija divdesmit četri punkts divdesmit divi punkts viens tika izlaista šodien ar atjauninātām

3:26 saknēm. Pārbaudiet savas zaru versijas padomu un faktisko CA konfigurāciju. Pielāgota pakotne var mainīt to, kuru uzticamības krātuvi process izmanto. Tor pētnieks vakar publicēja ziņojumu par trīs simti trīsdesmit

Ko atklāja Tor resursdatora atslēgas brīdinājums?

3:36 trīs kompromitētiem izejas relejiem. Pārtveršana sākās šī mēneša sākumā. Releji tika atzīmēti un izslēgti dažas dienas vēlāk, pirms ziņojums ieradās. SSH brīdināja pētnieku, ka servera identitāte ir mainījusies. Viņš ziņoja par to Tor tīkla veselības komandai. Viņu operatora paziņojums apstiprina ziņojumus par pārtveršanu. Šis brīdinājums darīja tieši to neērtību, kas autentifikācijai ir jāveic.

3:57 Trīs simti trīsdesmit trīs releji tika saskaitīti ar dažādām jaudām, atstājot datplūsmas daļu neizmērītu. Tor maršrutēšanai un SSH servera identitātei ir atsevišķi uzdevumi. Pārbaudiet mainītu resursdatora atslēgu, izmantojot uzticamu kanālu, pirms to pieņemat un piesakāties. Atgriežoties savā lietotnē, sāciet ar darbojošos konteineru vai virtuālo vidi.

Kā pārbaudīt izvietoto labojumu?

4:12 Atrodiet CA pakotni, ko tā faktiski izmanto, un lietojiet attiecīgo uzturēto atjauninājumu. Pārveidojiet un restartējiet izvietoto procesu, lai tas varētu ielādēt mainīto uzticamības materiālu. Izmantojiet uzturētāju publiskās testa ķēdes klienta reālajā vidē. Nošķiriet sertifikāta kļūdu no tīkla taimauta. Neizdevies savienojums viesnīcas Wi-Fi tīklā ir lielisks viesnīcas Wi-Fi tests. Mazā atkarība ir atsevišķi iepakota uzticamības krātuve, piemēram, certifi. Jūsu galddatora pārlūkprogramma nekad nerediģē šo atkarību veca konteinera iekšpusē. Izvietotais process un tā konfigurācija lemj, vai labojums

4:42 ieradās. Tā ir vieta, kur pārbaudīt savu atjauninājumu. Ja vēlaties to izlasīt, nevis dzirdēt mani sakām, atšķirība nonāk jūsu iesūtnē katru rītu, bez maksas vietnē thedailydiff dot dev, saite zemāk.

Kam tiek piešķirts zīmogs NEEDS REVIEW?

4:51 Tātad šodienas spriedums ir NEPIECIEŠAMA PĀRSKATĪŠANA. Es vēlos, lai izvietotā klienta uzticība tiktu pārbaudīta, pirms kāds slēdz šo incidentu. Abonējiet, nospiediet zvanu un paziņojiet man komentāros, ja jūs to būtu apzīmogojis citādi. Un tas ir šodienas atšķirība. Esmu Niko no Axrisi. Apvienojiet atbildīgi.

Avoti

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health