Kompromitácia strednej CA eMudhra: blokovacie zoznamy prehliadačov a medzera v dôvere počas behu

Čo toto video pokrýva

• Kompromitované kľúče patria stredným podpisovateľom. Nedôvera k rootu môže zmierniť reťazec bez toho, aby sa preukázalo, že bol kompromitovaný súkromný kľúč rootu.
• Núdzový blokovací zoznam prehliadača a zviazané úložisko CA aplikácie môžu mať samostatné cesty aktualizácie. Skontrolujte bežiaci proces a jeho skutočnú konfiguráciu dôvery.
• Mozilla nezávisle potvrdila obnoviteľné súkromné kľúče. Správa neuvádza žiadne záznamy CT pre dotknuté stredné CA; skutočné zneužitie proti iným klientom zostáva neznáme.
• Primárne vydania overujú certifi 2026.10.19 a Node 24.22.1 pre diskutované vetvy. Vlastné balíčky CA a iné vetvy behu potrebujú vlastné kontroly.
• Účet výskumníka Toru s 333 relé sa týka incidentu z začiatku októbra, ktorý bol zverejnený 20. októbra. Približne desať percent je počet relé, nie meranie zachytenej prevádzky.
• Samotné vypršanie časového limitu siete neznamená, že overenie certifikátu odmietlo kompromitovaný reťazec. Zachovajte overenie a rozlišujte chyby transportu od zlyhaní autentifikácie.

Preložený prepis

Preložené z pôvodného anglického rozprávania. Dostupný zvuk a titulky sú kontrolované službou YouTube.

Prečo môže opravený prehliadač ponechať aplikáciu nechránenú?

0:00 Oprava prehliadača eMudhra znie ako jasné "všetko je v poriadku". Osem kompromitovaných podpisovacích kľúčov stále zanecháva softvér so zastaranými rozhodnutiami o dôvere. V tomto videu, kto môže podpisovať? Prečo sa klienti nezhodujú? A ktorá aktualizácia sa skutočne dostane k vašej aplikácii? Jedna malá závislosť si udržiava vlastný zoznam dôveryhodných CA. Vrátime sa k procesu, ktorý rozhoduje, či vaša oprava dorazila. Je streda, dvadsiateho prvého októbra, a toto je The Daily Diff.

0:22 eMudhra je certifikačná autorita. Podpisuje digitálne certifikáty, ktoré pomáhajú softvéru autentifikovať webové stránky a služby. Kompromitované kľúče zahŕňajú šesť používaných pre webové pripojenia a dva pre podpisovanie softvéru. Stredná CA je delegovaný podpisovateľ pod dôveryhodným rootom. V piatok reportér menom Wayne poslal dôkazy rootovým programom. Do utorka bola na verejnej stránke incidentu vysvetlená očista. Dnes vývojári zisťujú, koľko kópií dôvery ich dokonale normálna aplikácia nazbierala.

Čo autorizuje stredný kľúč?

0:49 Tu je bežný reťazec. Webová stránka predstaví certifikát, stredná CA ho podpíše, a váš klient sleduje reťazec k rootu, ktorému už dôveruje. Root je váš lokálny východiskový bod. Kto ovláda súkromný kľúč strednej CA, môže podpisovať pod touto autoritou. Matematicky platný podpis môže mať úplne nedôveryhodného podpisovateľa. Validátor potrebuje spôsob, ako stiahnuť dôveru po kompromitácii. Wayne podpísal správu: "Máme tu problém, Wayne,"

1:12 každým kľúčom. Mozilla overila kontrolu kľúčov, potom nezávisle obnovila kľúče. Núdzová reakcia začala vetou, ktorá znie, akoby si niekto všimol, že kancelárska tlačiareň fajčí.

Čo je dokázané a čo zostáva neznáme?

1:22 Verejná správa uvádza, že kľúče boli vygenerované nesprávne a boli obnoviteľné z certifikátov, vytvorených v apríli minulého roka. Skutočné zneužitie proti inému softvéru je stále neznáme. Obnoviteľná podpisovacia autorita je dostatočne naliehavá aj bez vymysleného zoznamu obetí. Je tu dôležité obmedzenie. Správa nenašla žiadne záznamy o transparentnosti certifikátov pre tieto stredné CA počas tohto obdobia.

1:42 Uvádza sa, že prehliadače, ktoré vynucujú transparentnosť, nemohli byť napadnuté touto cestou. Táto dodatočná kontrola prehliadača pomáha vysvetliť, prečo samotný nadpis preháňa situáciu. eMudhra povedala Mozille, že asi tridsaťtisíc certifikátov potrebovalo migráciu na iný reťazec. Ide o funkčné služby, ktorých majitelia musia vymeniť certifikáty počas očisty. Niekde sa pozvánka do kalendára stala závislosťou produkcie.

Prečo sa prehliadač a runtime nezhodujú?

2:03 Predajcovia prehliadačov distribuujú núdzové blokovacie zoznamy. Správa zaznamenáva akciu Firefoxu a Chrome v piatok, nasledovanú spoločnosťami Apple a Microsoft. Títo klienti môžu odmietnuť kompromitovanú strednú CA, pričom uznávajú jej root. Toto pravidlo sa šíri oddelene od balíčka vašej aplikácie. Niektorí klienti kontrolujú reťazec proti dôveryhodným rootom bez použitia núdzových informácií o odvolaní. Autorita môže zverejniť odvolanie, a tento klient môže naďalej akceptovať reťazec.

2:27 Zavesenie tabule na dvere funguje lepšie, keď návštevník číta tabule. Mozilla uvádza, že niektoré profily Androidu zlyhali pri aplikovaní aktualizovaného blokovacieho zoznamu pri spustení. Oprava bola dodaná vo Firefoxe 158.02. Takže udržiavajte aj prehliadač aktuálny. Oznámenie nemôže inventarizovať váš telefón. Správcovia môžu odstrániť dôveryhodnú kotvu, ak klienti nemajú užšie blokovanie. Vlákno Mozilly popisuje núdzovú nedôveru k rootu emSign ECC, generácie tri. Odstránenie rootu z úložiska dôvery blokuje reťazce, ktoré sa naň

2:54 spoliehajú, aj keď súkromný kľúč samotného rootu nebol nikdy kompromitovaný. Najnovšie vydanie certifi pre Python je jedna následná aktualizácia.

Aké aktualizácie dosiahli Python a Node?

3:01 Jeho commit tiež obnovuje neovplyvnené emSign rooty po predchádzajúcom odstránení. Vymazanie všetkého s názvom spoločnosti je mizerná náhrada za udržiavaný balík. Chcete, aby bol nebezpečný reťazec odmietnutý a legitímnym zákazníkom fungovalo aj naďalej. História vydaní zachováva obe rozhodnutia. Bezpečnostná očista má glamúrne poslanie byť naliehavá, presná a obviňovaná za akúkoľvek službu, ktorá sa pokazí počas obeda. Verzia Node 24.22.1 bola dnes dodaná s aktualizovanými

3:26 rootmi. Skontrolujte si vlastnú vetvu a skutočnú konfiguráciu CA. Vlastný balík môže zmeniť, ktoré úložisko dôvery proces používa. V Tore, výskumník včera zverejnil správu o tristo tridsiatich

Čo zachytilo upozornenie na hostiteľský kľúč Tor?

3:36 troch kompromitovaných výstupných relé. Zachytávanie začalo začiatkom tohto mesiaca. Relé boli označené a vypnuté o niekoľko dní neskôr, pred príchodom správy. SSH upozornil výskumníka, že identita servera sa zmenila. Nahlásil to tímu pre zdravie siete Toru. Ich oznámenie operátorom potvrdzuje správy o zachytávaní. Toto upozornenie robilo presne nepríjemnú vec, ktorú má autentifikácia

3:57 robiť. Približne desať percent počítalo relé s rôznymi kapacitami, takže podiel prevádzky zostal nezmeraný. Smerovanie Toru a identita SSH servera majú samostatné úlohy. Overte zmenený hostiteľský kľúč cez dôveryhodný kanál predtým, ako ho prijmete a prihlásite sa. Späť vo vašej aplikácii začnite s bežiacim kontajnerom alebo virtuálnym prostredím.

Ako skontrolovať nasadenú opravu?

4:12 Nájdite balík CA, ktorý skutočne používa, a aplikujte príslušnú udržiavanú aktualizáciu. Znova zostavte a reštartujte nasadený proces, aby mohol načítať zmenený dôveryhodný materiál. Použite verejné testovacie reťazce udržiavateľov v reálnom prostredí klienta. Oddelíte chybu certifikátu od časového limitu siete. Nepodarené pripojenie na hotelovej Wi-Fi je vynikajúcim testom hotelovej Wi-Fi. Malá závislosť je samostatne zabalené úložisko dôvery, ako certifi. Váš desktopový prehliadač nikdy neupravuje túto závislosť vo vnútri starého kontajnera. Nasadený proces a jeho konfigurácia rozhodujú o tom, či oprava

4:42 dorazila. To je miesto, kde si overíte svoju aktualizáciu. Ak by ste to radšej čítali, ako počuli odo mňa, diff vám pristane v schránke každé ráno, zadarmo na the daily diff dot dev, odkaz nižšie.

Čo dostane pečiatku VYŽADUJE KONTROLU?

4:51 Takže dnešný verdikt je VYŽADUJE KONTROLU. Chcem, aby bola dôvera nasadeného klienta skontrolovaná predtým, ako niekto tento incident uzavrie. Prihláste sa na odber, stlačte zvonček a povedzte mi v komentároch, či by ste to označili inak. A to je pre dnešok všetko. Som Niko z Axrisi. Zlučujte zodpovedne.

Zdroje

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health