Compromiterea CA intermediar eMudhra: liste de blocare ale browserelor și decalajul de încredere la rulare

Ce acoperă acest videoclip

• Cheile compromise aparțin semnatarelor intermediare. Lipsa de încredere în rădăcină poate atenua un lanț fără a dovedi că cheia privată a rădăcinii a fost compromisă.
• Lista de blocare de urgență a unui browser și magazinul CA inclus într-o aplicație pot urma căi de actualizare separate. Verificați procesul de rulare și configurația sa reală de încredere.
• Mozilla a confirmat independent cheile private recuperabile. Raportul nu descrie intrări CT pentru intermediarele afectate; utilizarea abuzivă reală împotriva altor clienți rămâne necunoscută.
• Lansările primare verifică certifi 2026.10.19 și Node 24.22.1 pentru ramurile discutate. Pachetele CA personalizate și alte ramuri de rulare necesită propriile verificări.
• Contul cercetătorului Tor de 333 de relee se referă la un incident de la începutul lunii octombrie, publicat pe 20 octombrie. Aproximativ zece la sută este un număr de relee, nu o măsurare a traficului interceptat.
• Un timeout de rețea singur nu stabilește că validarea certificatului a respins un lanț compromis. Păstrați verificarea și distingeți erorile de transport de eșecurile de autentificare.

Transcrierea tradusă

Tradus din narațiunea originală în engleză. Audio-ul și subtitrările disponibile sunt controlate de YouTube.

De ce un browser reparat poate lăsa o aplicație expusă?

0:00 Remediul browserului eMudhra sună ca o declarație de "totul este în regulă". Opt chei de semnare compromise lasă încă software-ul cu decizii de încredere învechite. În acest videoclip, cine poate semna? De ce nu sunt de acord clienții? Și ce actualizare ajunge de fapt la aplicația ta? O mică dependență își păstrează propria listă de încredere. Ne vom întoarce la procesul care decide dacă remediul tău a sosit. Este miercuri, douăzeci și unu octombrie, și acesta este The Daily Diff.

0:22 eMudhra este o autoritate de certificare. Semnează certificate digitale care ajută software-ul să autentifice site-uri web și servicii. Cheile compromise includ șase folosite pentru conexiuni web și două pentru semnarea software-ului. Un intermediar este un semnatar delegat sub o rădăcină de încredere. Vineri, un reporter pe nume Wayne a trimis dovezi programelor rădăcină. Până marți, pagina de incidente publice explica curățarea. Astăzi, dezvoltatorii trebuie să descopere câte copii de încredere are aplicația lor perfect normală.

Ce autorizează o cheie intermediară?

0:49 Iată lanțul obișnuit. Un site prezintă un certificat, un intermediar îl semnează, și clientul tău urmează lanțul până la o rădăcină în care are deja încredere. Rădăcina este punctul tău de plecare local. Cine controlează cheia privată a intermediarului poate semna sub acea autoritate. O semnătură validă matematic poate avea un semnatar complet nedemn de încredere. Validatorul are nevoie de o modalitate de a retrage încrederea după o compromitere. Wayne a semnat mesajul, "Avem o problemă aici, Wayne,"

1:12 cu fiecare cheie. Mozilla a verificat controlul cheii, apoi a recuperat independent cheile. Răspunsul de urgență a început cu o propoziție care sună ca și cum cineva ar fi observat că imprimanta de la birou scotea fum.

Ce este dovedit și ce rămâne necunoscut?

1:22 Raportul public spune că cheile au fost generate incorect și recuperabile din certificate, create în aprilie anul trecut. Utilizarea abuzivă reală împotriva altui software este încă necunoscută. Autoritatea de semnare recuperabilă este suficient de urgentă fără o listă de victime inventată. Există o limită importantă aici. Raportul nu a găsit nicio intrare de transparență a certificatului pentru acele intermediare în acea perioadă.

1:42 Se spune că browserele care impun transparența nu ar fi putut fi atacate prin această rută. Acea verificare suplimentară a browserului ajută la explicarea de ce titlul singur denaturează imaginea. eMudhra a spus Mozilla că aproximativ treizeci de mii de certificate au necesitat migrarea la un alt lanț. Acestea sunt servicii funcționale ai căror proprietari trebuie să înlocuiască certificatele în timpul curățării. Undeva, o invitație de calendar tocmai a devenit o dependență de producție.

De ce nu sunt de acord browserul și runtime-ul?

2:03 Furnizorii de browsere distribuie liste de blocare de urgență. Raportul înregistrează acțiunea Firefox și Chrome vineri, urmate de Apple și Microsoft. Acești clienți pot respinge intermediarul compromis recunoscând în același timp rădăcina sa. Această regulă circulă separat de pachetul aplicației tale. Unii clienți verifică un lanț împotriva rădăcinilor de încredere fără a consuma informații de revocare de urgență. Autoritatea poate publica o revocare, și acel client poate continua să accepte lanțul.

2:27 Punerea unui semn pe ușă funcționează mai bine atunci când vizitatorul citește semne. Mozilla spune că unele profiluri Android nu au reușit să aplice lista de blocare actualizată la pornire. Un remediu a fost livrat în Firefox unu cincizeci și opt punct zero doi. Deci, mențineți și browserul actualizat. Anunțul nu poate inventaria telefonul tău. Mentinatorii pot elimina o ancoră de încredere atunci când clienții nu au o blocare mai restrânsă. Firul de discuții Mozilla descrie lipsa de încredere de urgență în rădăcina emSign ECC, generația a treia. Eliminarea unei rădăcini dintr-un magazin de încredere blochează lanțurile care se bazează pe

2:54 ea, chiar și atunci când cheia privată a rădăcinii în sine nu a fost niciodată compromisă. Cea mai recentă lansare certifi a Python este o actualizare ulterioară.

Ce actualizări au ajuns la Python și Node?

3:01 Comitul său restaurează, de asemenea, rădăcinile emSign neafectate după o eliminare anterioară. Ștergerea a tot ce poartă numele companiei este un substitut prost pentru pachetul întreținut. Vrei ca lanțul periculos să fie respins și clienții legitimi să funcționeze în continuare. Istoricul lansărilor păstrează ambele decizii. Curățarea de securitate are sarcina glamuroasă de a fi urgentă, precisă și de a fi învinuită pentru orice serviciu se strică în timpul prânzului. Versiunea Node douăzeci și patru punct douăzeci și doi punct unu a fost livrată astăzi cu rădăcini

3:26 actualizate. Verificați avertismentul ramurii voastre și configurația CA reală. Un pachet personalizat poate schimba magazinul de încredere pe care îl utilizează procesul. În Tor, un cercetător a publicat ieri un raport despre trei sute treizeci și

Ce a prins avertismentul de cheie de gazdă Tor?

3:36 trei de relee de ieșire compromise. Interceptarea a început la începutul acestei luni. Releele au fost semnalate și închise zile mai târziu, înainte de sosirea raportului scris. SSH l-a avertizat pe cercetător că identitatea serverului s-a schimbat. El a raportat-o echipei de sănătate a rețelei Tor. Notificarea operatorului lor confirmă rapoartele de interceptare. Acea avertizare făcea exact lucrul incomod pe care autentificarea ar trebui

3:57 să-l facă. Aproximativ zece la sută a numărat relee cu capacități diferite, lăsând partea de trafic nemăsurată. Rutarea Tor și identitatea serverului SSH au sarcini separate. Verificați o cheie de gazdă schimbată printr-un canal de încredere înainte de a o accepta și de a vă autentifica. Înapoi în aplicația dvs., începeți cu containerul de rulare sau mediul virtual.

Cum verifici remedierea implementată?

4:12 Găsiți pachetul CA pe care îl utilizează de fapt și aplicați actualizarea relevantă întreținută. Reconstruiți și reporniți procesul implementat, astfel încât să poată încărca materialul de încredere modificat. Utilizați lanțurile de testare publice ale întreținătorilor în mediul real al clientului. Păstrați eroarea certificatului separată de un timeout de rețea. O conexiune eșuată la Wi-Fi-ul hotelului este un test excelent al Wi-Fi-ului hotelului. Dependența mică este un magazin de încredere separat, împachetat, precum certifi. Browserul dvs. desktop nu editează niciodată acea dependență într-un container vechi. Procesul implementat și configurația sa decid dacă remediul

4:42 a sosit. Acolo trebuie să vă verificați actualizarea. Dacă preferați să citiți asta decât să mă auziți spunând-o, diferența ajunge în căsuța dvs. de e-mail în fiecare dimineață, gratuit la thedailydiff dot dev, link mai jos.

Ce primește ștampila NECESITĂ REVIZUIRE?

4:51 Deci verdictul de astăzi este NECESITĂ REVIZUIRE. Vreau ca încrederea clientului implementat să fie verificată înainte ca cineva să închidă acest incident. Abonați-vă, apăsați clopoțelul și spuneți-mi în comentarii dacă ați fi ștampilat-o diferit. Și asta e diferența pentru astăzi. Sunt Niko de la Axrisi. Îmbină responsabil.

Surse

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health