Kompromitacija vmesne CA eMudhra: blokirne liste brskalnikov in vrzel v zaupanju med izvajanjem

Kaj zajema ta videoposnetek

• Kompromitirani ključi pripadajo vmesnim podpisnikom. Nezaupanje v koren lahko ublaži verigo, ne da bi dokazalo, da je bil zasebni ključ korena kompromitiran.
• Zasilna blokirna lista brskalnika in shranjevalnik CA, vgrajen v aplikacijo, lahko sledita ločenim poteh posodabljanja. Preverite tekoči proces in njegovo dejansko konfiguracijo zaupanja.
• Mozilla je neodvisno potrdila obnovljive zasebne ključe. Poročilo ne opisuje vnosov CT za prizadete vmesnike; dejanska zloraba proti drugim strankam ostaja neznana.
• Primarne izdaje preverjajo certifi 2026.10.19 in Node 24.22.1 za obravnavane veje. Lastne pakete CA in druge veje med izvajanjem potrebujejo lastna preverjanja.
• Račun raziskovalca Torja s 333 releji se nanaša na incident v začetku oktobra, objavljen 20. oktobra. Približno deset odstotkov je število relejev, ne pa meritev prestreženega prometa.
• Sama časovna omejitev omrežja ne dokazuje, da je preverjanje potrdila zavrnilo kompromitirano verigo. Ohranjajte preverjanje in razlikujte napake pri prenosu od napak pri avtentikaciji.

Preveden prepis

Prevedeno iz izvirnega angleškega pripovedovanja. Razpoložljivi zvok in podnapisi so nadzorovani s strani YouTuba.

Zakaj lahko fiksni brskalnik pusti aplikacijo izpostavljeno?

0:00 Popravek brskalnika eMudhra zveni kot da je vse v redu. Osem kompromitiranih podpisnih ključev še vedno pušča programsko opremo z zastarelimi odločitvami o zaupanju. Kdo lahko podpisuje v tem videu? Zakaj se stranke ne strinjajo? In katera posodobitev dejansko doseže vašo aplikacijo? Ena majhna odvisnost ohranja svoj seznam zaupanja. Vrnite se k postopku, ki določa, ali je vaš popravek prispel. Je sreda, enaindvajseti oktober, in to je The Daily Diff.

0:22 eMudhra je certifikatni organ. Podpisuje digitalna potrdila, ki programski opremi pomagajo pri avtentikaciji spletnih mest in storitev. Kompromitirani ključi vključujejo šest, ki se uporabljajo za spletne povezave, in dva za podpisovanje programske opreme. Vmesnik je delegiran podpisnik pod zaupanim korenom. V petek je novinar, po imenu Wayne, poslal dokaze korenskim programom. Do torka je bila javna stran incidentov razlagala čiščenje. Danes lahko razvijalci odkrijejo, koliko kopij zaupanja je zbrala njihova popolnoma običajna aplikacija.

Kaj avtorizira vmesni ključ?

0:49 Tukaj je navadna veriga. Mesto predstavi potrdilo, vmesni ga podpiše, in vaša stranka sledi verigi do korena, ki mu že zaupa. Koren je vaše lokalno izhodišče. Kdor nadzoruje zasebni ključ vmesnika, lahko podpisuje pod to avtoriteto. Matematično veljaven podpis ima lahko popolnoma nezaupanja vrednega podpisnika. Validator potrebuje način za umik zaupanja po kompromitaciji. Wayne je podpisal sporočilo: Imamo problem tukaj, Wayne,

1:12 z vsakim ključem. Mozilla je preverila nadzor ključev, nato pa samostojno obnovila ključe. Zasilni odziv se je začel s stavkom, ki zveni, kot da je nekdo opazil, da pisarniški tiskalnik kadi.

Kaj je dokazano in kaj ostaja neznano?

1:22 Javno poročilo pravi, da so bili ključi napačno ustvarjeni in jih je bilo mogoče obnoviti iz potrdil, ustvarjenih aprila lani. Dejanska zloraba proti drugi programski opremi je še vedno neznana. Obnovljiva podpisna avtoriteta je dovolj nujna tudi brez izmišljenega seznama žrtev. Tukaj je pomembna omejitev. Poročilo ni našlo nobenega potrdila vnosov preglednosti za te vmesnike v tem obdobju.

1:42 Piše, da brskalniki, ki uveljavljajo preglednost, niso mogli biti napadeni prek te poti. To dodatno preverjanje brskalnika pomaga razložiti, zakaj sam naslov pretirava s sliko. eMudhra je Mozilli sporočila, da je bilo treba približno trideset tisoč potrdil migrirati na drugo verigo. To so delujoče storitve, katerih lastniki morajo zamenjati potrdila med čiščenjem. Nekje je povabilo v koledarju pravkar postalo produkcijska odvisnost.

Zakaj se brskalnik in izvajalno okolje ne strinjata?

2:03 Dobavitelji brskalnikov distribuirajo zasilne blokirne liste. Poročilo beleži ukrepanje Firefoxa in Chroma v petek, sledita Apple in Microsoft. Te stranke lahko zavrnejo kompromitirani vmesnik, medtem ko prepoznajo njegov koren. To pravilo potuje ločeno od paketa vaše aplikacije. Nekatere stranke preverijo verigo proti zaupanja vrednim korenom, ne da bi porabile zasilne informacije o preklicu. Organ lahko objavi preklic, in ta stranka lahko še naprej sprejema verigo.

2:27 Postavitev znaka na vrata deluje bolje, ko obiskovalec bere znake. Mozilla pravi, da nekateri profili Androida niso uspeli uporabiti posodobljene blokirne liste ob zagonu. Popravek je bil poslan v Firefoxu en petdeset osem točka nič dva. Zato imejte brskalnik tudi posodobljen. Objava ne more popisati vašega telefona. Vzdrževalci lahko odstranijo sidro zaupanja, ko strankam primanjkuje ožjega blokiranja. Mozilla opisuje zasilno nezaupanje v koren emSign ECC, generacije tri. Odstranitev korena iz shrambe zaupanja blokira verige, ki se zanašajo na

2:54 njega, tudi če zasebni ključ korena sam ni bil nikoli kompromitiran. Najnovejša izdaja Pythona certifi je ena izmed naslednjih posodobitev.

Katere posodobitve so dosegle Python in Node?

3:01 Njen commit tudi obnovi neprizadete korene emSign po prejšnji odstranitvi. Brisanje vsega, kar nosi ime podjetja, je slab nadomestek za vzdrževani paket. Želite, da je nevarna veriga zavrnjena in legitimne stranke še vedno delujejo. Zgodovina izdaj ohranja obe odločitvi. Varnostno čiščenje ima glamurozno nalogo, da je nujno, natančno in krivo za vsako storitev, ki se pokvari med kosilom. Node verzija štiriindvajset točka dvaindvajset točka ena je bila danes poslana s posodobljenimi

3:26 koreni. Preverite priporočila vaše veje in dejansko konfiguracijo CA. Paket po meri lahko spremeni, katero shrambo zaupanja uporablja proces. V Torju je raziskovalec včeraj objavil poročilo o tristo tridesetih

Kaj je ujelo opozorilo o gostiteljskem ključu Tor?

3:36 treh kompromitiranih izhodnih relejih. Prestrezanje se je začelo v začetku tega meseca. Releji so bili označeni in izklopljeni nekaj dni pozneje, preden je prispel zapis. SSH je raziskovalca opozoril, da se je identiteta strežnika spremenila. Poročal je ekipi za zdravje omrežja Tor. Njihovo obvestilo operaterju potrjuje poročila o prestrezanju. To opozorilo je delovalo točno tako, neprijetna stvar, ki naj bi jo avtentikacija

3:57 delala. Približno deset odstotkov je štelo releje z različnimi zmogljivostmi, pri čemer je bil delež prometa nemerjen. Tor usmerjanje in identiteta strežnika SSH imata ločeni nalogi. Preverite spremenjeni gostiteljski ključ prek zaupanega kanala, preden ga sprejmete in se prijavite. Nazaj v vaši aplikaciji začnite z delujočim kontejnerjem ali virtualnim okoljem.

Kako preveriti nameščeno popravilo?

4:12 Poiščite paket CA, ki ga dejansko uporablja, in uporabite ustrezno vzdrževano posodobitev. Ponovno zgradite in znova zaženite nameščeni proces, da lahko naloži spremenjen material zaupanja. Uporabite javne testne verige vzdrževalcev v realnem okolju stranke. Napako potrdila ločite od časovne omejitve omrežja. Neuspešna povezava na hotelskem Wi-Fi je odličen test hotelskega Wi-Fi. Majhna odvisnost je ločeno pakirana shramba zaupanja, kot je certifi. Vaš namizni brskalnik nikoli ne ureja te odvisnosti znotraj starega kontejnerja. Nameščeni proces in njegova konfiguracija odločata, ali je popravek

4:42 prispel. To je mesto za preverjanje vaše posodobitve. Če raje berete to, kot da me slišite govoriti, diff pristane v vašem nabiralniku vsako jutro, brezplačno na thedaily diff.dev, povezava spodaj.

Kaj dobi žig NEEDS REVIEW?

4:51 Tako je današnja sodba NEEDS REVIEW. Želim, da se preveri zaupanje nameščene stranke, preden kdorkoli zapre ta incident. Naročite se, pritisnite zvonec in mi v komentarjih povejte, če bi ga žigosali drugače. In to je diff za danes. Sem Niko iz Axrisija. Odgovorno združujte.

Viri

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health