# इमुधरा मध्यवर्ती CA सम्झौता: ब्राउजर ब्लकलिस्टहरू र रनटाइम विश्वास अन्तर

Published: 2026-10-21

आठ इमुधरा मध्यवर्ती हस्ताक्षर कुञ्जीहरूमा सम्झौता गरिएको थियो, जसमा TLS को लागि प्रयोग गरिएका छ र कोड हस्ताक्षरका लागि दुई समावेश थिए। यो घटना मोजिलाको पुष्टिकरण, ब्राउजर ब्लकिङ र डिप्लोय गरिएको अनुप्रयोगलाई किन आफ्नै विश्वास कन्फिगरेसन जाँच गर्न आवश्यक छ भनेर व्याख्या गर्न डाउनस्ट्रिम अद्यावधिकहरू पछि आएको छ। एउटा छुट्टै Tor रिपोर्टले SSH होस्ट-पहिचान चेतावनीले आफ्नो काम गरिरहेको देखाउँछ।

Canonical: https://thedailydiff.dev/ne/video/2026-10-21-emudhra-trust-gap/

## यो भिडियोले के समेट्छ

- सम्झौता गरिएका कुञ्जीहरू मध्यवर्ती हस्ताक्षरकर्ताहरूसँग सम्बन्धित छन्। रुटको निजी कुञ्जीमा सम्झौता भएको प्रमाणित नगरी रुट अविश्वासले शृङ्खलालाई कम गर्न सक्छ।
- ब्राउजरको आपत्कालीन ब्लकलिस्ट र एप्लिकेसनको बन्डल गरिएको CA स्टोरले अलग-अलग अद्यावधिक मार्गहरू पछ्याउन सक्छ। चलिरहेको प्रक्रिया र यसको वास्तविक विश्वास कन्फिगरेसन जाँच गर्नुहोस्।
- मोजिलाले स्वतन्त्र रूपमा पुन:प्राप्त गर्न सकिने निजी कुञ्जीहरू पुष्टि गर्यो। रिपोर्टले प्रभावित मध्यवर्तीहरूको लागि कुनै CT प्रविष्टिहरू वर्णन गर्दैन; अन्य ग्राहकहरू विरुद्ध वास्तविक दुरुपयोग अज्ञात रहन्छ।
- प्राथमिक रिलीजहरूले छलफल गरिएका शाखाहरूको लागि प्रमाण 2026.10.19 र नोड 24.22.1 प्रमाणित गर्दछ। अनुकूलन CA बन्डलहरू र अन्य रनटाइम शाखाहरूलाई आफ्नै जाँचहरू चाहिन्छ।
- टोर अनुसन्धानकर्ताको 333-रिले खाता अक्टोबर 20 मा प्रकाशित पहिलेको-अक्टोबर घटनासँग सम्बन्धित छ। लगभग दस प्रतिशत रिले गणना हो, अवरोध गरिएको-ट्राफिक मापन होइन।
- एक नेटवर्क टाइमआउटले मात्र प्रमाणपत्र प्रमाणीकरणले सम्झौता गरिएको शृङ्खलालाई अस्वीकार गरेको स्थापित गर्दैन। प्रमाणीकरण सुरक्षित गर्नुहोस् र यातायात त्रुटिहरूलाई प्रमाणीकरण असफलताहरूबाट अलग गर्नुहोस्।

## अध्यायहरू

- 0:00 किन एक निश्चित ब्राउजरले एपलाई जोखिममा पार्न सक्छ?
- 0:49 एक मध्यवर्ती कुञ्जीले केलाई अधिकार दिन्छ?
- 1:22 के प्रमाणित भयो, र के अज्ञात रहन्छ?
- 2:03 ब्राउजर र रनटाइम किन असहमत छन्?
- 2:58 कुन अद्यावधिकहरू पाइथन र नोडमा पुगे?
- 3:33 टोर होस्ट-कुञ्जी चेतावनीले के समात्यो?
- 4:10 तपाईंले डिप्लोय गरिएको फिक्स कसरी जाँच गर्नुहुन्छ?
- 4:51 केले NEEDS REVIEW छाप पाउँछ?

## अनुवादित ट्रान्सक्रिप्ट

मूल अंग्रेजी कथाबाट अनुवादित। उपलब्ध अडियो र क्याप्सनहरू YouTube द्वारा नियन्त्रित हुन्छन्।

### किन एक निश्चित ब्राउजरले एपलाई जोखिममा पार्न सक्छ?

0:00 eMudhra ब्राउजर फिक्स सबै-स्पष्ट सुनिन्छ। आठ सम्झौता गरिएका हस्ताक्षर कुञ्जीहरूले अझै पनि सफ्टवेयरलाई पुरानो विश्वास निर्णयहरूका साथ छोड्छन्। यस भिडियोमा, कसले हस्ताक्षर गर्न सक्छ? ग्राहकहरू किन असहमत छन्? र कुन अद्यावधिकले वास्तवमा तपाईंको एपमा पुग्छ? एउटा सानो निर्भरताले आफ्नै विश्वास सूची राख्छ। तपाईंको फिक्स आयो कि आएन भनेर निर्णय गर्ने प्रक्रियामा हामी फर्किनेछौं। यो बुधवार, अक्टोबर २१ हो, र यो The Daily Diff हो।

0:22 eMudhra एउटा प्रमाणपत्र प्राधिकरण हो। यसले डिजिटल प्रमाणपत्रहरूमा हस्ताक्षर गर्दछ जसले सफ्टवेयरलाई वेबसाइटहरू प्रमाणित गर्न मद्दत गर्दछ र सेवाहरू। सम्झौता गरिएका कुञ्जीहरूमा वेब जडानका लागि प्रयोग गरिएका छ र सफ्टवेयर हस्ताक्षरका लागि दुई समावेश छन्। एक मध्यवर्ती एक विश्वसनीय रुट अन्तर्गत एक प्रत्यायोजित हस्ताक्षरकर्ता हो। शुक्रबार, वेन नामक एक रिपोर्टरले रुट कार्यक्रमहरूमा प्रमाण पठाए। मंगलबारसम्म, सार्वजनिक घटना पृष्ठले सफाईको व्याख्या गरिरहेको थियो। आज, विकासकर्ताहरूले आफ्नो पूर्णतया सामान्य अनुप्रयोगले कति विश्वासका प्रतिलिपिहरू सङ्कलन गरेको छ भनेर पत्ता लगाउन पाउँछन्। यहाँ सामान्य शृङ्खला छ। एउटा साइटले प्रमाणपत्र प्रस्तुत गर्दछ, एक मध्यवर्तीले यसमा हस्ताक्षर गर्दछ,

### एक मध्यवर्ती कुञ्जीले केलाई अधिकार दिन्छ?

0:49 र तपाईंको ग्राहकले पहिले नै विश्वास गरेको रुटमा शृङ्खला पछ्याउँछ। रुट तपाईंको स्थानीय सुरूवात बिन्दु हो। मध्यवर्तीको निजी कुञ्जी नियन्त्रण गर्ने जो कोहीले त्यो अधिकार अन्तर्गत हस्ताक्षर गर्न सक्छ। एक गणितीय रूपमा मान्य हस्ताक्षरमा पूर्णतया अविश्वसनीय हस्ताक्षरकर्ता हुन सक्छ। प्रमाणीकरणकर्तालाई सम्झौता पछि विश्वास फिर्ता लिने तरिका चाहिन्छ। वेनले सन्देशमा हस्ताक्षर गरे, 'हामीलाई यहाँ समस्या छ, वेन,' प्रत्येक कुञ्जीको साथ। मोजिलाले कुञ्जी नियन्त्रण प्रमाणित गर्यो, त्यसपछि स्वतन्त्र रूपमा कुञ्जीहरू पुन:प्राप्त गर्यो।

1:12 आपत्कालीन प्रतिक्रिया एउटा वाक्यबाट सुरु भयो जुन कसैले कार्यालयको प्रिन्टर धुँवाइरहेको याद गरेको जस्तो लाग्छ। सार्वजनिक रिपोर्ट भन्छ कि कुञ्जीहरू गलत तरिकाले उत्पन्न गरिएका थिए र प्रमाणपत्रहरूबाट पुन:प्राप्त गर्न सकिने थिए, गत वर्ष अप्रिलमा सिर्जना गरिएका थिए। अन्य सफ्टवेयर विरुद्ध वास्तविक दुरुपयोग अझै अज्ञात छ। पुन:प्राप्त गर्न सकिने हस्ताक्षर अधिकार एक आविष्कार गरिएको पीडित सूची बिना नै पर्याप्त जरुरी छ।

### के प्रमाणित भयो, र के अज्ञात रहन्छ?

1:22 यहाँ एउटा महत्त्वपूर्ण सीमा छ। रिपोर्टले ती मध्यवर्तीहरूका लागि कुनै प्रमाणपत्र पारदर्शिता प्रविष्टिहरू फेला पारेन त्यो अवधिमा। यसले भन्छ कि पारदर्शिता लागू गर्ने ब्राउजरहरूलाई यस मार्गबाट आक्रमण गर्न सकिएको थिएन। त्यो अतिरिक्त ब्राउजर जाँचले किन हेडलाइनले मात्र तस्विरलाई बढाइचढाइ गर्छ भनेर व्याख्या गर्न मद्दत गर्दछ। eMudhra ले मोजिलालाई लगभग तीस हजार प्रमाणपत्रहरू अर्को शृङ्खलामा स्थानान्तरण गर्न आवश्यक रहेको बताएको छ। ती काम गरिरहेका सेवाहरू हुन् जसका मालिकहरूले सफाईको क्रममा प्रमाणपत्रहरू प्रतिस्थापन गर्नुपर्छ। कहिँ, एउटा क्यालेन्डर निमन्त्रणा भर्खरै उत्पादन निर्भरता बन्यो। ब्राउजर विक्रेताहरूले आपत्कालीन ब्लकलिस्टहरू वितरण गर्छन्। रिपोर्टले शुक्रबार फायरफक्स र क्रोम कार्य रेकर्ड गर्दछ,

1:42 त्यसपछि एप्पल र माइक्रोसफ्ट। यी ग्राहकहरूले यसको रुटलाई मान्यता दिँदै सम्झौता गरिएको मध्यवर्तीलाई अस्वीकार गर्न सक्छन्। त्यो नियम तपाईंको अनुप्रयोगको बन्डलबाट अलग यात्रा गर्दछ। केही ग्राहकहरूले आपत्कालीन रद्द जानकारी उपभोग नगरी विश्वसनीय रुटहरू विरुद्ध शृङ्खला जाँच गर्छन्। प्राधिकरणले रद्द प्रकाशित गर्न सक्छ, र त्यो ग्राहकले शृङ्खला स्वीकार गरिरहन सक्छ। ढोकामा चिन्ह लगाउनु राम्रो हुन्छ जब आगन्तुकले चिन्हहरू पढ्छ। मोजिला भन्छ कि केही एन्ड्रोइड प्रोफाइलहरूले स्टार्टअपमा अद्यावधिक गरिएको ब्लकलिस्ट लागू गर्न असफल भए। फायरफक्स एक सय ५८ दशमलव शून्य दुईमा एउटा फिक्स पठाइएको थियो। त्यसैले ब्राउजरलाई पनि अद्यावधिक राख्नुहोस्।

### ब्राउजर र रनटाइम किन असहमत छन्?

2:03 घोषणाहरूले तपाईंको फोनको सूची बनाउन सक्दैन। ग्राहकहरूसँग साँघुरो ब्लकिङ नभएको बेला मर्मतकर्ताहरूले विश्वास एंकर हटाउन सक्छन्। मोजिलाको थ्रेडले emSign ECC रुट, जेनेरेसन तीनको आपत्कालीन अविश्वासको वर्णन गर्दछ। विश्वास स्टोरबाट रुट हटाउनाले यसमा निर्भर शृङ्खलाहरूलाई रोक्छ, रुटको निजी कुञ्जी आफैंमा कहिल्यै सम्झौता नभएको बेलामा पनि। पाइथनको पछिल्लो certifi रिलीज एउटा डाउनस्ट्रिम अद्यावधिक हो। यसको प्रतिबद्धताले पहिलेको हटाउने पछि अप्रभावित emSign रुटहरू पनि पुनर्स्थापित गर्दछ। कम्पनीको नाम बोक्ने सबै कुरा मेटाउनु मर्मत गरिएको प्याकेजको लागि खराब विकल्प हो। तपाईं खतरनाक शृङ्खला अस्वीकृत भएको र वैध ग्राहकहरू अझै काम गरिरहेको चाहनुहुन्छ। रिलीज इतिहासले दुबै निर्णयहरू सुरक्षित गर्दछ। सुरक्षा सफाईमा जरुरी, सटीक, र दिउँसोको खानाको समयमा जुनसुकै सेवा बिग्रिए पनि दोष पाउने आकर्षक काम हुन्छ।

2:27 नोडको संस्करण चौबीस दशमलव बाइस दशमलव एक आज अद्यावधिक गरिएको रुटहरूसँग पठाइएको थियो। तपाईंको आफ्नै शाखाको सल्लाह र वास्तविक CA कन्फिगरेसन जाँच गर्नुहोस्। एक अनुकूलन बन्डलले प्रक्रियाले कुन विश्वास स्टोर प्रयोग गर्छ भनेर परिवर्तन गर्न सक्छ। टोरमा, एक अनुसन्धानकर्ताले हिजो तीन सय तेतीस सम्झौता गरिएका निकास रिलेहरूको खाता प्रकाशित गरे। अवरोध यस महिनाको सुरुमा सुरु भयो। रिलेहरूलाई झण्डा लगाइएको थियो र लेख आउनु अघि दिनहरू पछि बन्द गरियो। SSH ले अनुसन्धानकर्तालाई सर्भरको पहिचान परिवर्तन भएको चेतावनी दियो। उनले यसलाई टोरको नेटवर्क स्वास्थ्य टोलीलाई रिपोर्ट गरे। तिनीहरूको अपरेटर सूचनाले अवरोधका रिपोर्टहरू पुष्टि गर्दछ।

2:54 त्यो चेतावनी ठ्याक्कै प्रमाणीकरणले गर्नुपर्ने असुविधाजनक काम गरिरहेको थियो।

### कुन अद्यावधिकहरू पाइथन र नोडमा पुगे?

3:01 लगभग दस प्रतिशतले फरक क्षमताका रिलेहरू गनेका थिए, ट्राफिक साझेदारी अलमाप्य छोडेर। टोर राउटिङ र SSH सर्भर पहिचानका अलग-अलग कामहरू छन्। एक परिवर्तन गरिएको होस्ट कुञ्जीलाई एक विश्वसनीय च्यानल मार्फत प्रमाणित गर्नुहोस् तपाईंले यसलाई स्वीकार गर्नु अघि र लग इन गर्नुहोस्। तपाईंको एपमा फर्कनुहोस्, चलिरहेको कन्टेनर वा भर्चुअल वातावरणबाट सुरु गर्नुहोस्। यसले वास्तवमा प्रयोग गर्ने CA बन्डल फेला पार्नुहोस् र सान्दर्भिक मर्मत गरिएको अद्यावधिक लागू गर्नुहोस्। डिप्लोय गरिएको प्रक्रियालाई पुनर्निर्माण र पुन: सुरु गर्नुहोस् ताकि यसले परिवर्तन गरिएको विश्वास सामग्री लोड गर्न सकोस्। ग्राहकको वास्तविक वातावरणमा मर्मतकर्ताहरूको सार्वजनिक परीक्षण शृङ्खलाहरू प्रयोग गर्नुहोस्।

3:26 प्रमाणपत्र त्रुटिलाई नेटवर्क टाइमआउटबाट अलग राख्नुहोस्। होटल Wi-Fi मा असफल जडान होटल Wi-Fi को उत्कृष्ट परीक्षण हो। सानो निर्भरता एक छुट्टै बन्डल गरिएको विश्वास स्टोर हो,

### टोर होस्ट-कुञ्जी चेतावनीले के समात्यो?

3:36 certifi जस्तै। तपाईंको डेस्कटप ब्राउजरले पुरानो कन्टेनर भित्र त्यो निर्भरतालाई कहिल्यै सम्पादन गर्दैन। डिप्लोय गरिएको प्रक्रिया र यसको कन्फिगरेसनले फिक्स आयो कि आएन भनेर निर्णय गर्छ। त्यो तपाईंको अद्यावधिक प्रमाणित गर्ने ठाउँ हो। यदि तपाईं मलाई यो भन्न सुन्नुको सट्टा यो पढ्न चाहनुहुन्छ भने, diff हरेक बिहान तपाईंको इनबक्समा आउँछ, the daily diff dot dev मा निःशुल्क, लिङ्क तल छ। त्यसैले आजको फैसला NEEDS REVIEW हो। कसैले यो घटना बन्द गर्नु अघि मैले डिप्लोय गरिएको ग्राहकको विश्वास जाँच गर्न चाहन्छु। सदस्यता लिनुहोस्, घण्टी बजाउनुहोस्, र टिप्पणीहरूमा मलाई भन्नुहोस् यदि तपाईंले यसलाई फरक तरिकाले छाप लगाउनुहुन्थ्यो। र आजको लागि diff यति नै हो। म Axrisi बाट निको हुँ।

3:57 जिम्मेवारीपूर्वक मर्ज गर्नुहोस्। The eMudhra browser fix sounds like an all-clear. Eight compromised signing keys still leave software with stale trust decisions. In this video, who can sign? Why do clients disagree? And which update actually reaches your app?

### तपाईंले डिप्लोय गरिएको फिक्स कसरी जाँच गर्नुहुन्छ?

4:12 One tiny dependency keeps its own trust list. We'll come back to the process that decides whether your fix arrived. It's Wednesday, October twenty first, and this is The Daily Diff. eMudhra is a certificate authority. It signs digital certificates that help software authenticate websites and services. The compromised keys include six used for web connections and two for signing software. An intermediate is a delegated signer beneath a trusted root. On Friday, a reporter called Wayne sent proof to the root programs.

4:42 By Tuesday, the public incident page was explaining the cleanup. Today, developers get to discover how many copies of trust their perfectly normal application has collected.

### केले NEEDS REVIEW छाप पाउँछ?

4:51 Here's the ordinary chain. A site presents a certificate, an intermediate signs it, and your client follows the chain to a root it already trusts. The root is your local starting point. Whoever controls the intermediate's private key can sign under that authority. A mathematically valid signature can have a completely untrustworthy signer.

## स्रोतहरू

- [eMudhra Intermediate CA Compromise](https://emudhra.we-have-a-problem.com/) — Dennis Jackson
- [Private key compromise of eMudhra Intermediate Certificates](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449) — Mozilla Bugzilla
- [certifi 2026.10.19 release](https://github.com/certifi/python-certifi/releases/tag/2026.10.19) — certifi
- [Restore unaffected emSign roots](https://github.com/certifi/python-certifi/commit/662df63d7906df66f1f07c0751a3dfe9da14d914) — certifi
- [Node 24.22.1 security release](https://github.com/nodejs/node/releases/tag/v24.22.1) — Node.js
- [Update root certificates to NSS 3.131.1](https://github.com/nodejs/node/pull/66877) — Node.js
- [How I got over 300 Tor exit nodes removed](https://kaba.cx/posts/20261020_Tor/) — KABA
- [Security incident affecting some relay operators](https://lists.torproject.org/mailman3/hyperkitty/list/tor-relays@lists.torproject.org/thread/WOHPLKCSHYXFTBRZXDENDKJZMBMPLMG5/) — Tor Project network health