Компромитирање на посреднички CA на eMudhra: листи за блокирање на прелистувачи и јазот во довербата при извршување

Што покрива ова видео

• Компромитираните клучеви припаѓаат на посреднички потписници. Недовербата во коренот може да го ублажи ланецот без да се докаже дека приватниот клуч на коренот е компромитиран.
• Листата за итно блокирање на прелистувачот и складиштето за CA спакувано во апликацијата може да следат посебни патеки за ажурирање. Проверете го процесот што работи и неговата вистинска конфигурација на доверба.
• Mozilla независно ги потврди клучевите за обновување на приватните клучеви. Извештајот не опишува CT записи за засегнатите посредници; вистинската злоупотреба против други клиенти останува непозната.
• Примарните изданија го потврдуваат certifi 2026.10.19 и Node 24.22.1 за дискутираните гранки. Прилагодените CA пакети и другите гранки за време на извршувањето имаат потреба од сопствени проверки.
• Сметката на истражувачот на Tor за 333 релеи се однесува на инцидент од претходно во октомври, објавен на 20 октомври. Приближно десет проценти е број на релеи, а не мерење на пресретнат сообраќај.
• Само мрежен тајмаут не утврдува дека валидацијата на сертификатот отфрлила компромитиран ланец. Зачувајте ја верификацијата и разликувајте ги грешките во транспортот од грешките во автентикацијата.

Преведен транскрипт

Преведено од оригиналната англиска нарација. Достапното аудио и наслови се контролирани од YouTube.

Зошто фиксен прелистувач може да остави апликација изложена?

0:00 Поправката на прелистувачот на eMudhra звучи како сè да е во ред. Осум компромитирани клучеви за потпишување сè уште оставаат софтвер со застарени одлуки за доверба. Во ова видео, кој може да потпише? Зошто клиентите не се согласуваат? И кое ажурирање всушност стигнува до вашата апликација? Една мала зависност ја чува сопствената листа на доверба. Ќе се вратиме на процесот кој одлучува дали пристигнала вашата поправка. Среда е, дваесет и први октомври, а ова е The Daily Diff.

0:22 eMudhra е овластување за сертификати. Потпишува дигитални сертификати кои им помагаат на софтверот да ги автентицира веб-страниците и услугите. Компромитираните клучеви вклучуваат шест користени за веб-врски и два за потпишување софтвер. Посредник е делегиран потписник под доверлив корен. Во петокот, репортер по име Вејн испрати доказ до коренските програми. До вторник, јавната страница за инциденти го објаснуваше чистењето. Денес, програмерите треба да откријат колку копии од доверба нивната совршено нормална апликација собрала.

Што овластува посреднички клуч?

0:49 Еве го обичниот ланец. Веб-страница претставува сертификат, посредник го потпишува, и вашиот клиент го следи ланецот до корен на кој веќе му верува. Коренот е вашата локална почетна точка. Кој го контролира приватниот клуч на посредникот, може да потпише под тоа овластување. Математички валиден потпис може да има потполно недоверлив потписник. Валидаторот има потреба од начин за повлекување на довербата по компромис. Вејн ја потпиша пораката: „Имаме проблем тука, Вејн“,

1:12 со секој клуч. Mozilla ја потврди контролата на клучот, а потоа независно ги обнови клучевите. Итниот одговор започна со реченица која звучи како некој да забележал дека канцеларискиот печатач чади.

Што е докажано, а што останува непознато?

1:22 Јавниот извештај вели дека клучевите биле генерирани погрешно и можеле да се обноват од сертификатите, креирани во април минатата година. Вистинската злоупотреба против друг софтвер сè уште е непозната. Обновливата овластување за потпишување е доволно итна без измислена листа на жртви. Има важно ограничување тука. Извештајот не најде записи за транспарентност на сертификати за тие посредници во тој период.

1:42 Се вели дека прелистувачите кои спроведуваат транспарентност не можеле да бидат нападнати преку овој пат. Таа дополнителна проверка на прелистувачот помага да се објасни зошто самиот наслов ја преувеличува сликата. eMudhra и соопшти на Mozilla дека околу триесет илјади сертификати треба да се пренесат на друг ланец. Тоа се работни услуги чии сопственици мора да ги заменат сертификатите за време на чистењето. Некаде, покана за календар штотуку стана производствена зависност.

Зошто прелистувачот и времето на извршување не се согласуваат?

2:03 Добавувачите на прелистувачи дистрибуираат листи за итно блокирање. Извештајот ги бележи акциите на Firefox и Chrome во петокот, проследени од Apple и Microsoft. Овие клиенти можат да го отфрлат компромитираниот посредник додека го препознаваат неговиот корен. Тоа правило патува одделно од пакетот на вашата апликација. Некои клиенти проверуваат ланец против доверливи корени без да консумираат информации за итно отповикување. Овластувањето може да објави отповикување, и тој клиент може да продолжи да го прифаќа ланецот.

2:27 Поставувањето знак на вратата функционира подобро кога посетителот чита знаци. Mozilla вели дека некои Android профили не успеале да ја применат ажурираната листа за блокирање при стартување. Поправка беше испорачана во Firefox 158.02. Затоа, одржувајте го прелистувачот ажуриран. Објавата не може да го попише вашиот телефон. Одржувачите можат да отстранат довербен сидро кога на клиентите им недостасува потесно блокирање. Нишката на Mozilla опишува итно недоверба кон emSign ECC коренот, генерација три. Отстранувањето на коренот од продавницата за доверба ги блокира ланците кои се потпираат на

2:54 него, дури и кога приватниот клуч на коренот самиот никогаш не бил компромитиран. Најновото издание на certifi на Python е едно последователно ажурирање.

Кои ажурирања стигнаа до Python и Node?

3:01 Неговото запишување исто така ги обновува незасегнатите emSign корени по претходно отстранување. Бришењето на сè што го носи името на компанијата е лоша замена за одржуваниот пакет. Сакате опасниот ланец да биде одбиен и легитимните клиенти сè уште да работат. Историјата на изданија ги зачувува двете одлуки. Чистењето на безбедноста има гламурозна работа да биде итно, прецизно и да биде обвинето за која било услуга што ќе се расипе за време на ручекот. Верзијата на Node 24.22.1 беше испорачана денес со ажурирани

3:26 корени. Проверете го советот на вашата гранка и актуелната конфигурација на CA. Прилагоден пакет може да промени која продавница за доверба ја користи процесот. Во Тор, истражувач вчера објави извештај за триста триесет и три

Што фати предупредувањето за клучот на домаќинот на Tor?

3:36 компромитирани излезни релеи. Преземањето започна претходно овој месец. Релеите беа означени и исклучени неколку дена подоцна, пред да пристигне писмениот извештај. SSH го предупреди истражувачот дека идентитетот на серверот е променет. Тој го пријави тоа до тимот за мрежно здравје на Tor. Нивното известување до операторот ги потврдува извештаите за пресретнување. Тоа предупредување правеше точно незгодната работа што автентикацијата треба

3:57 да ја прави. Приближно десет проценти избројани релеи со различни капацитети, оставајќи го уделот на сообраќајот неизмерен. Насочувањето на Tor и идентитетот на SSH серверот имаат посебни задачи. Потврдете го променетиот клуч на домаќинот преку доверлив канал пред да го прифатите и да се најавите. Вратете се во вашата апликација, почнете со тековниот контејнер или виртуелна околина.

Како да ја проверите применетата поправка?

4:12 Најдете го CA пакетот што всушност го користи и применете го соодветното одржувано ажурирање. Повторно изградете го и рестартирајте го распоредениот процес за да може да го вчита променетиот материјал за доверба. Користете ги јавните тест-ланци на одржувачите во реалната средина на клиентот. Чувајте ја грешката на сертификатот одделна од истекот на времето на мрежата. Неуспешна врска на хотелски Wi-Fi е одличен тест за хотелски Wi-Fi. Малата зависност е посебно спакувано складиште за доверба, како certifi. Вашиот десктоп прелистувач никогаш не ја уредува таа зависност во стар контејнер. Распоредениот процес и неговата конфигурација одлучуваат дали поправката

4:42 пристигнала. Тоа е местото за да го потврдите вашето ажурирање. Ако повеќе сакате да го прочитате ова отколку да ме слушнете како го кажувам, дифузијата пристигнува во вашето сандаче секое утро, бесплатно на thedaily diff.dev, линкот подолу.

Што добива печат „ПОТРЕБНА Е ПРЕГЛЕД“?

4:51 Така, денешната пресуда е ПОТРЕБНА Е ПРЕГЛЕД. Сакам да се провери довербата на распоредениот клиент пред некој да го затвори овој инцидент. Претплатете се, кликнете на ѕвончето и кажете ми во коментари дали би го оцениле поинаку. И тоа е дифузијата за денес. Јас сум Нико од Axrisi. Спојувајте одговорно.

Извори

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health