# Kompromitacja pośredniego CA eMudhra: listy blokad przeglądarek i luka w zaufaniu środowiska wykonawczego

Published: 2026-10-21

Sześć pośrednich kluczy podpisywania eMudhra zostało skompromitowanych, w tym sześć używanych do TLS i dwa do podpisywania kodu. Epizod ten następuje po potwierdzeniu przez Mozillę, blokowaniu przez przeglądarki i późniejszych aktualizacjach, aby wyjaśnić, dlaczego wdrożona aplikacja wymaga sprawdzenia własnej konfiguracji zaufania. Oddzielny raport Tor pokazuje, że ostrzeżenie o tożsamości hosta SSH spełnia swoje zadanie.

Canonical: https://thedailydiff.dev/pl/video/2026-10-21-emudhra-trust-gap/

## Co obejmuje ten film

- Skompromitowane klucze należą do pośrednich sygnatariuszy. Brak zaufania do rootów może złagodzić problem z łańcuchem bez udowodnienia, że prywatny klucz roota został skompromitowany.
- Awaryjna lista blokad przeglądarki i dołączony do aplikacji magazyn CA mogą podążać oddzielnymi ścieżkami aktualizacji. Sprawdź działający proces i jego faktyczną konfigurację zaufania.
- Mozilla niezależnie potwierdziła odzyskiwalne klucze prywatne. Raport nie opisuje wpisów CT dla dotkniętych pośredników; faktyczne nadużycie przeciwko innym klientom pozostaje nieznane.
- Podstawowe wersje weryfikują certifi 2026.10.19 i Node 24.22.1 dla omawianych gałęzi. Niestandardowe pakiety CA i inne gałęzie środowiska wykonawczego wymagają własnych sprawdzeń.
- Konto badacza Tor z 333 przekaźnikami dotyczy wcześniejszego incydentu z początku października, opublikowanego 20 października. Mniej więcej dziesięć procent to liczba przekaźników, a nie pomiar przechwyconego ruchu.
- Sam limit czasu sieci nie świadczy o tym, że walidacja certyfikatu odrzuciła skompromitowany łańcuch. Zachowaj weryfikację i rozróżniaj błędy transportu od błędów uwierzytelniania.

## Rozdziały

- 0:00 Dlaczego naprawiona przeglądarka może pozostawić aplikację narażoną?
- 0:49 Do czego uprawnia klucz pośredni?
- 1:22 Co zostało udowodnione, a co pozostaje nieznane?
- 2:03 Dlaczego przeglądarka i środowisko wykonawcze się nie zgadzają?
- 2:58 Jakie aktualizacje dotarły do Pythona i Node?
- 3:33 Co wykryło ostrzeżenie o kluczu hosta Tor?
- 4:10 Jak sprawdzić wdrożoną poprawkę?
- 4:51 Co otrzymuje stempel NEEDS REVIEW?

## Przetłumaczona transkrypcja

Przetłumaczono z oryginalnej narracji angielskiej. Dostępne audio i napisy są kontrolowane przez YouTube.

### Dlaczego naprawiona przeglądarka może pozostawić aplikację narażoną?

0:00 Naprawa przeglądarki eMudhra brzmi jak sygnał do odwołania. Osiem skompromitowanych kluczy podpisywania nadal pozostawia oprogramowanie z nieaktualnymi decyzjami o zaufaniu. W tym filmie, kto może podpisać? Dlaczego klienci się nie zgadzają? A która aktualizacja faktycznie dotrze do Twojej aplikacji? Jedna mała zależność przechowuje własną listę zaufania. Wrócimy do procesu, który decyduje, czy Twoja poprawka dotarła. Jest środa, dwudziesty pierwszy października, i to jest The Daily Diff.

0:22 eMudhra to urząd certyfikacji. Podpisuje certyfikaty cyfrowe, które pomagają oprogramowaniu uwierzytelniać strony internetowe i usługi. Skompromitowane klucze obejmują sześć używanych do połączeń internetowych i dwa do podpisywania oprogramowania. Pośrednik to delegowany sygnatariusz pod zaufanym rootem. W piątek reporter o imieniu Wayne wysłał dowody do programów root. Do wtorku publiczna strona incydentu wyjaśniała oczyszczanie. Dziś deweloperzy mogą odkryć, ile kopii zaufania zebrała ich perfekcyjnie normalna aplikacja.

### Do czego uprawnia klucz pośredni?

0:49 Oto zwykły łańcuch. Strona przedstawia certyfikat, pośrednik go podpisuje, a Twój klient podąża łańcuchem do roota, któremu już ufa. Root to Twój lokalny punkt startowy. Kto kontroluje klucz prywatny pośrednika, może podpisywać w ramach tego autorytetu. Matematycznie ważny podpis może mieć całkowicie niegodnego zaufania sygnatariusza. Walidator potrzebuje sposobu na wycofanie zaufania po kompromitacji. Wayne podpisał wiadomość: Mamy tu problem, Wayne,

1:12 każdym kluczem. Mozilla zweryfikowała kontrolę klucza, a następnie niezależnie odzyskała klucze. Reakcja awaryjna rozpoczęła się od zdania, które brzmi, jakby ktoś zauważył, że drukarka biurowa dymi.

### Co zostało udowodnione, a co pozostaje nieznane?

1:22 Raport publiczny mówi, że klucze zostały wygenerowane nieprawidłowo i można je było odzyskać z certyfikatów, utworzonych w kwietniu zeszłego roku. Faktyczne nadużycie przeciwko innemu oprogramowaniu jest nadal nieznane. Odzyskiwalne uprawnienia do podpisywania są wystarczająco pilne bez wymyślonej listy ofiar. Jest tu ważny limit. Raport nie znalazł wpisów przejrzystości certyfikatów dla tych pośredników w tym okresie.

1:42 Mówi, że przeglądarki egzekwujące przejrzystość nie mogły zostać zaatakowane tą drogą. To dodatkowe sprawdzenie przeglądarki pomaga wyjaśnić, dlaczego sam nagłówek przecenia sytuację. eMudhra poinformowała Mozillę, że około trzydzieści tysięcy certyfikatów wymagało migracji do innego łańcucha. Są to działające usługi, których właściciele muszą wymienić certyfikaty podczas oczyszczania. Gdzieś zaproszenie do kalendarza stało się właśnie zależnością produkcyjną.

### Dlaczego przeglądarka i środowisko wykonawcze się nie zgadzają?

2:03 Dostawcy przeglądarek rozpowszechniają awaryjne listy blokad. Raport odnotowuje działania Firefoxa i Chrome'a w piątek, następnie Apple i Microsoft. Ci klienci mogą odrzucić skompromitowany pośrednik, rozpoznając jego root. Ta zasada podróżuje oddzielnie od pakietu Twojej aplikacji. Niektóre klienty sprawdzają łańcuch pod kątem zaufanych rootów bez pobierania awaryjnych informacji o unieważnieniu. Urząd może opublikować unieważnienie, a ten klient może nadal akceptować łańcuch.

2:27 Wywieszenie znaku na drzwiach działa lepiej, gdy odwiedzający czyta znaki. Mozilla mówi, że niektóre profile Androida nie zastosowały zaktualizowanej listy blokad podczas uruchamiania. Poprawka została wysłana w Firefoxie jeden pięć osiem kropka zero dwa. Więc utrzymuj przeglądarkę aktualną. Ogłoszenie nie może zinwentaryzować Twojego telefonu. Utrzymujący mogą usunąć kotwicę zaufania, gdy klientom brakuje węższego blokowania. Wątek Mozilli opisuje awaryjne brak zaufania do roota emSign ECC, generacja trzecia. Usunięcie roota z magazynu zaufania blokuje łańcuchy na nim polegające,

2:54 nawet jeśli prywatny klucz roota nigdy nie został skompromitowany. Najnowsze wydanie certifi Pythona to jedna z aktualizacji niższego poziomu.

### Jakie aktualizacje dotarły do Pythona i Node?

3:01 Jego commit przywraca również nienaruszone roote emSign po wcześniejszym usunięciu. Usunięcie wszystkiego, co nosi nazwę firmy, jest kiepskim substytutem dla utrzymywanego pakietu. Chcesz, aby niebezpieczny łańcuch został odrzucony, a legalni klienci nadal pracowali. Historia wydań zachowuje obie decyzje. Oczyszczanie bezpieczeństwa ma efektowne zadanie bycia pilnym, precyzyjnym i obwinianym za każdą usługę, która zepsuje się podczas lunchu. Wersja Node dwadzieścia cztery kropka dwadzieścia dwa kropka jeden została dziś wysłana z zaktualizowanymi

3:26 rootami. Sprawdź porady dotyczące swojej gałęzi i faktyczną konfigurację CA. Niestandardowy pakiet może zmienić, którego magazynu zaufania używa proces. W Torze badacz opublikował wczoraj relację o trzystu trzydziestu

### Co wykryło ostrzeżenie o kluczu hosta Tor?

3:36 trzech skompromitowanych przekaźnikach wyjściowych. Przechwytywanie rozpoczęło się na początku tego miesiąca. Przekaźniki zostały oznaczone i wyłączone kilka dni później, zanim dotarła relacja. SSH ostrzegł badacza, że tożsamość serwera uległa zmianie. Zgłosił to zespołowi ds. zdrowia sieci Tor. Ich powiadomienie dla operatora potwierdza doniesienia o przechwyceniu. To ostrzeżenie robiło dokładnie to niewygodne, co powinno robić uwierzytelnianie.

3:57 Mniej więcej dziesięć procent policzonych przekaźników miało różne pojemności, pozostawiając udział w ruchu niezmierzoną. Routing Tor i tożsamość serwera SSH mają oddzielne zadania. Zweryfikuj zmieniony klucz hosta za pomocą zaufanego kanału, zanim go zaakceptujesz i zalogujesz się. Wróć do swojej aplikacji, zacznij od działającego kontenera lub środowiska wirtualnego.

### Jak sprawdzić wdrożoną poprawkę?

4:12 Znajdź pakiet CA, którego faktycznie używa, i zastosuj odpowiednią utrzymywaną aktualizację. Przebuduj i uruchom ponownie wdrożony proces, aby mógł załadować zmieniony materiał zaufania. Użyj publicznych łańcuchów testowych utrzymujących w rzeczywistym środowisku klienta. Oddziel błąd certyfikatu od limitu czasu sieci. Nieudane połączenie na hotelowym Wi-Fi to doskonały test hotelowego Wi-Fi. Mała zależność to oddzielnie spakowany magazyn zaufania, jak certifi. Twoja przeglądarka desktopowa nigdy nie edytuje tej zależności w starym kontenerze. Wdrożony proces i jego konfiguracja decydują, czy poprawka

4:42 dotarła. To jest miejsce do weryfikacji aktualizacji. Jeśli wolisz to przeczytać, niż usłyszeć, jak to mówię, "diff" ląduje w Twojej skrzynce pocztowej każdego ranka, za darmo na the daily diff dot dev, link poniżej.

### Co otrzymuje stempel NEEDS REVIEW?

4:51 Więc dzisiejszy werdykt to NEEDS REVIEW. Chcę, aby zaufanie wdrożonego klienta zostało sprawdzone, zanim ktokolwiek zamknie ten incydent. Subskrybuj, naciśnij dzwonek i powiedz mi w komentarzach, czy stemplowałbyś to inaczej. I to na dziś tyle. Jestem Niko z Axrisi. Łącz odpowiedzialnie.

## Źródła

- [eMudhra Intermediate CA Compromise](https://emudhra.we-have-a-problem.com/) — Dennis Jackson
- [Private key compromise of eMudhra Intermediate Certificates](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449) — Mozilla Bugzilla
- [certifi 2026.10.19 release](https://github.com/certifi/python-certifi/releases/tag/2026.10.19) — certifi
- [Restore unaffected emSign roots](https://github.com/certifi/python-certifi/commit/662df63d7906df66f1f07c0751a3dfe9da14d914) — certifi
- [Node 24.22.1 security release](https://github.com/nodejs/node/releases/tag/v24.22.1) — Node.js
- [Update root certificates to NSS 3.131.1](https://github.com/nodejs/node/pull/66877) — Node.js
- [How I got over 300 Tor exit nodes removed](https://kaba.cx/posts/20261020_Tor/) — KABA
- [Security incident affecting some relay operators](https://lists.torproject.org/mailman3/hyperkitty/list/tor-relays@lists.torproject.org/thread/WOHPLKCSHYXFTBRZXDENDKJZMBMPLMG5/) — Tor Project network health