Kompromittering av eMudhra mellomliggende CA: nettleserblokklistene og tillitsgapet ved kjøretid

Hva denne videoen dekker

• De kompromitterte nøklene tilhører mellomliggende signere. Root-mistillit kan redusere en kjede uten å bevise at rootens private nøkkel ble kompromittert.
• En nettlesers nødbokliste og en applikasjons medfølgende CA-lagring kan følge separate oppdateringsveier. Sjekk den kjørende prosessen og dens faktiske tillitskonfigurasjon.
• Mozilla bekreftet uavhengig gjenopprettelige private nøkler. Rapporten beskriver ingen CT-oppføringer for de berørte mellomliggende; faktisk misbruk mot andre klienter forblir ukjent.
• Primære utgivelser bekrefter certifi 2026.10.19 og Node 24.22.1 for de diskuterte grenene. Egendefinerte CA-pakker og andre kjøretidsgrener trenger sine egne kontroller.
• Tor-forskerens 333-relékonto gjelder en hendelse fra tidligere i oktober publisert 20. oktober. Omtrent ti prosent er et relétall, ikke en måling av avlyttet trafikk.
• En nettverkstidsavbrudd alene etablerer ikke at sertifikatvalidering avviste en kompromittert kjede. Bevar verifisering og skille transportfeil fra autentiseringsfeil.

Oversatt transkripsjon

Oversatt fra den originale engelske fortellingen. Tilgjengelig lyd og undertekster kontrolleres av YouTube.

Hvorfor kan en fikset nettleser la en app være utsatt?

0:00 eMudhra nettleserfiksen høres ut som en "alt klart". Åtte kompromitterte signeringsnøkler etterlater fortsatt programvare med foreldede tillitsbeslutninger. I denne videoen, hvem kan signere? Hvorfor er klientene uenige? Og hvilken oppdatering når faktisk appen din? Én liten avhengighet holder sin egen tillitsliste. Vi kommer tilbake til prosessen som avgjør om din fiks kom frem. Det er onsdag, tjueførste oktober, og dette er The Daily Diff.

0:22 eMudhra er en sertifikatmyndighet. Den signerer digitale sertifikater som hjelper programvare med å autentisere nettsteder og tjenester. De kompromitterte nøklene inkluderer seks brukt for nettforbindelser og to for signering av programvare. En "intermediate" er en delegert signerer under en betrodd rot. Fredag sendte en reporter ved navn Wayne bevis til rotprogrammene. Innen tirsdag forklarte den offentlige hendelsessiden oppryddingen. I dag får utviklere oppdage hvor mange kopier av tillit deres perfekt normale applikasjon har samlet.

Hva autoriserer en mellomliggende nøkkel?

0:49 Her er den vanlige kjeden. Et nettsted presenterer et sertifikat, en mellomliggende signerer det, og klienten din følger kjeden til en rot den allerede stoler på. Roten er ditt lokale utgangspunkt. Den som kontrollerer den mellomliggendes private nøkkel kan signere under den myndigheten. En matematisk gyldig signatur kan ha en helt upålitelig signerer. Validator trenger en måte å trekke tilbake tillit etter et kompromiss. Wayne signerte meldingen "Vi har et problem her, Wayne",

1:12 med hver nøkkel. Mozilla verifiserte nøkkelkontroll, og gjenopprettet deretter uavhengig nøklene. Nødresponsen startet med en setning som høres ut som noen la merke til at kontorskriveren røykte.

Hva er bevist, og hva forblir ukjent?

1:22 Den offentlige rapporten sier at nøklene ble generert feil og kunne gjenopprettes fra sertifikatene, opprettet i april i fjor. Faktisk misbruk mot annen programvare er fortsatt ukjent. Gjenopprettbar signeringsmyndighet er presserende nok uten en oppdiktet offerliste. Det er en viktig begrensning her. Rapporten fant ingen sertifikat- transparensoppføringer for disse mellomleddene i denne perioden.

1:42 Den sier at nettlesere som håndhever transparens ikke kunne ha blitt angrepet gjennom denne ruten. Den ekstra nettleserkontrollen hjelper til med å forklare hvorfor overskriften alene overdriver bildet. eMudhra fortalte Mozilla at omtrent tretti tusen sertifikater måtte migreres til en annen kjede. Dette er fungerende tjenester hvis eiere må erstatte sertifikater under oppryddingen. Et sted ble en kalenderinvitasjon nettopp en produksjonsavhengighet.

Hvorfor er nettleseren og kjøretiden uenige?

2:03 Nettleserleverandører distribuerer nødboklister. Rapporten registrerer Firefox og Chrome-aksjon fredag, etterfulgt av Apple og Microsoft. Disse klientene kan avvise den kompromitterte mellomliggende samtidig som de anerkjenner dens rot. Den regelen reiser separat fra applikasjonens "bundle". Noen klienter sjekker en kjede mot betrodde røtter uten å bruke nødstenging- informasjon. Myndigheten kan publisere en tilbakekalling, og den klienten kan fortsette å akseptere kjeden.

2:27 Å sette et skilt på døren fungerer bedre når den besøkende leser skilt. Mozilla sier at noen Android-profiler ikke klarte å bruke den oppdaterte blokklisten ved oppstart. En fiks ble levert i Firefox 158.02. Så hold nettleseren også oppdatert. Kunngjøringen kan ikke inventere telefonen din. Vedlikeholdere kan fjerne et tillitsanker når klienter mangler smalere blokkering. Mozillas tråd beskriver nødmistillit til emSign ECC-roten, generasjon tre. Å fjerne en rot fra et tillitslager blokkerer kjeder som er avhengige av

2:54 den, selv når rotens private nøkkel aldri ble kompromittert. Pythons siste "certifi"-utgivelse er en nedstrøms oppdatering.

Hvilke oppdateringer nådde Python og Node?

3:01 Dets "commit" gjenoppretter også upåvirkede emSign-røtter etter en tidligere fjerning. Å slette alt som bærer selskapets navn er en elendig erstatning for den vedlikeholdte pakken. Du vil ha den farlige kjeden avvist og legitime kunder som fortsatt fungerer. Utgivelseshistorikken bevarer begge beslutningene. Sikkerhetsopprydding har den glamorøse jobben med å være presserende, presis, og å få skylden for hvilken som helst tjeneste som bryter sammen under lunsj. Nodes versjon 24.22.1 ble levert i dag med oppdaterte

3:26 røtter. Sjekk din egen grenes råd og faktiske CA-konfigurasjon. En tilpasset pakke kan endre hvilken tillitsbutikk prosessen bruker. I Tor publiserte en forsker i går en beretning om tre hundre og tretti

Hva fanget Tor-vertsnøkkeladvarselen opp?

3:36 tre kompromitterte utgangsreléer. Avlyttingen begynte tidligere denne måneden. Reléene ble flagget og stengt ned dager senere, før rapporten kom. SSH advarte forskeren om at serverens identitet hadde endret seg. Han rapporterte det til Tors nettverkshelseteam. Deres operatørmelding bekrefter rapporter om avlytting. Den advarselen gjorde nøyaktig den ubeleilige tingen autentisering skal

3:57 gjøre. Omtrent ti prosent telte reléer med forskjellige kapasiteter, og lot trafikkandelen være ubestemt. Tor-ruting og SSH-serveridentitet har separate jobber. Bekreft en endret verts-nøkkel gjennom en betrodd kanal før du aksepterer den og logger inn. Tilbake i appen din, start med den kjørende containeren eller det virtuelle miljøet.

Hvordan sjekker du den distribuerte fiksen?

4:12 Finn CA-pakken den faktisk bruker og bruk den relevante vedlikeholdte oppdateringen. Bygg på nytt og start den distribuerte prosessen på nytt slik at den kan laste inn det endrede tillits- materialet. Bruk vedlikeholdernes offentlige testkjeder i klientens virkelige miljø. Hold sertifikatfeilen atskilt fra en nettverkstidsavbrudd. En mislykket forbindelse på hotell-Wi-Fi er en utmerket test av hotell-Wi-Fi. Den lille avhengigheten er et separat pakket tillitslager, som certifi. Skrivebordsleseren din redigerer aldri den avhengigheten inne i en gammel container. Den distribuerte prosessen og dens konfigurasjon avgjør om fiksen

4:42 ankom. Det er stedet å bekrefte oppdateringen din. Hvis du heller vil lese dette enn å høre meg si det, lander "diffen" i innboksen din hver morgen, gratis på thedailydiff.dev, lenke nedenfor.

Hva får stempelet "TRENGER GJENNOMGANG"?

4:51 Så dagens dom er TRENGER GJENNOMGANG. Jeg vil ha den distribuerte klientens tillit sjekket før noen avslutter denne hendelsen. Abonner, trykk på bjellen, og fortell meg i kommentarene om du ville ha stemplet det annerledes. Og det er "diffen" for i dag. Jeg er Niko fra Axrisi. Flett ansvarlig.

Kilder

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health