Komprometimi i CA-së së ndërmjetme eMudhra: bllokimet e shfletuesit dhe boshllëku i besimit në kohën e ekzekutimit

Çfarë mbulon kjo video

• Çelësat e komprometuar u përkasin nënshkruesve të ndërmjetëm. Mosbesimi i rrënjës mund të zbusë një zinxhir pa provuar se çelësi privat i rrënjës u komprometua.
• Një listë bllokimi emergjente e shfletuesit dhe një dyqan CA i përfshirë në aplikacion mund të ndjekin rrugë të ndryshme përditësimi. Kontrolloni procesin e ekzekutimit dhe konfigurimin e tij aktual të besimit.
• Mozilla konfirmoi në mënyrë të pavarur çelësat privatë të rikuperueshëm. Raporti nuk përshkruan asnjë hyrje CT për ndërmjetësit e prekur; keqpërdorimi aktual kundër klientëve të tjerë mbetet i panjohur.
• Publikimet kryesore verifikojnë certifi 2026.10.19 dhe Node 24.22.1 për degët e diskutuara. Paketat e personalizuara të CA-së dhe degët e tjera të kohës së ekzekutimit kanë nevojë për kontrollet e tyre.
• Llogaria e studiuesit të Tor-it me 333 rele ka të bëjë me një incident të fillim-tetorit të publikuar më 20 tetor. Përafërsisht dhjetë për qind është numër relesh, jo matje e trafikut të përgjuar.
• Një mbarim i kohës së rrjetit nuk vërteton vetëm se vërtetimi i certifikatës refuzoi një zinxhir të komprometuar. Ruani verifikimin dhe dalloni gabimet e transportit nga dështimet e vërtetimit.

Transkript i përkthyer

Përkthyer nga tregimi origjinal në anglisht. Audio dhe titrat e disponueshme kontrollohen nga YouTube.

Pse një shfletues i rregulluar mund ta lërë një aplikacion të ekspozuar?

0:00 Rregullimi i shfletuesit eMudhra duket si një dritë jeshile. Tetë çelësa nënshkrimi të komprometuar ende lënë softuerin me vendime të vjetruara besimi. Në këtë video, kush mund të nënshkruajë? Pse klientët nuk pajtohen? Dhe cili përditësim arrin në të vërtetë aplikacionin tuaj? Një varësi e vogël mban listën e vet të besimit. Do t'i kthehemi procesit që vendos nëse rregullimi juaj arriti. Është e mërkurë, njëzetenjë tetori, dhe ky është The Daily Diff.

0:22 eMudhra është një autoritet certifikimi. Ajo nënshkruan certifikata dixhitale që ndihmojnë softuerin të vërtetojë faqet e internetit dhe shërbimet. Çelësat e komprometuar përfshijnë gjashtë të përdorur për lidhje në ueb dhe dy për nënshkrimin e softuerit. Një ndërmjetës është një nënshkrues i deleguar nën një rrënjë të besueshme. Të premten, një reporter i quajtur Wayne dërgoi prova në programet rrënjësore. Deri të martën, faqja publike e incidentit po shpjegonte pastrimin. Sot, zhvilluesit zbulojnë sa kopje besimi ka mbledhur aplikacioni i tyre perfektisht normal.

Çfarë autorizon një çelës ndërmjetës?

0:49 Këtu është zinxhiri i zakonshëm. Një faqe paraqet një certifikatë, një ndërmjetës e nënshkruan atë, dhe klienti juaj ndjek zinxhirin deri te një rrënjë që ai tashmë i beson. Rrënja është pika juaj lokale e nisjes. Kushdo që kontrollon çelësin privat të ndërmjetësit mund të nënshkruajë nën atë autoritet. Një nënshkrim matematikisht i vlefshëm mund të ketë një nënshkrues plotësisht të pabesueshëm. Vërtetuesi ka nevojë për një mënyrë për të tërhequr besimin pas një komprometimi. Wayne nënshkroi mesazhin, Kemi një problem këtu, Wayne,

1:12 me çdo çelës. Mozilla verifikoi kontrollin e çelësit, pastaj rikuperoi në mënyrë të pavarur çelësat. Përgjigja emergjente filloi me një fjali që tingëllon sikur dikush vuri re që printeri i zyrës po nxirrte tym.

Çfarë është vërtetuar dhe çfarë mbetet e panjohur?

1:22 Raporti publik thotë se çelësat ishin gjeneruar gabimisht dhe të rikuperueshëm nga certifikatat, të krijuara në prill të vitit të kaluar. Keqpërdorimi aktual kundër softuerit tjetër është ende i panjohur. Autoriteti i nënshkrimit i rikuperueshëm është mjaft urgjent edhe pa një listë viktimash të sajuara. Këtu ka një kufizim të rëndësishëm. Raporti nuk gjeti asnjë hyrje transparence certifikate për ato ndërmjetës gjatë asaj periudhe.

1:42 Thuhet se shfletuesit që zbatonin transparencën nuk mund të ishin sulmuar përmes kësaj rruge. Ai kontroll shtesë i shfletuesit ndihmon të shpjegohet pse titulli vetëm e ekzagjeron tablonë. eMudhra i tha Mozilla-s se rreth tridhjetë mijë certifikata kishin nevojë për migrim në një zinxhir tjetër. Këto janë shërbime funksionale, pronarët e të cilave duhet të zëvendësojnë certifikatat gjatë pastrimit. Diku, një ftesë kalendari sapo u bë një varësi prodhimi.

Pse shfletuesi dhe koha e ekzekutimit nuk pajtohen?

2:03 Furnizuesit e shfletuesve shpërndajnë lista bllokimi emergjente. Raporti regjistron veprimet e Firefox dhe Chrome të premten, pasuar nga Apple dhe Microsoft. Këta klientë mund të refuzojnë ndërmjetësin e komprometuar duke njohur rrënjën e tij. Ai rregull udhëton veçmas nga paketa e aplikacionit tuaj. Disa klientë kontrollojnë një zinxhir kundër rrënjëve të besuara pa konsumuar informacionin e revokimit emergjent. Autoriteti mund të publikojë një revokim, dhe ai klient mund të vazhdojë të pranojë zinxhirin.

2:27 Vendosja e një shenje në derë funksionon më mirë kur vizitori lexon shenjat. Mozilla thotë se disa profile Android nuk arritën të aplikonin listën e bllokimit të përditësuar në nisje. Një rregullim u dërgua në Firefox 158.02. Pra, mbajeni shfletuesin aktual gjithashtu. Njoftimi nuk mund të inventarizojë telefonin tuaj. Mirëmbajtësit mund të heqin një ankorë besimi kur klientët nuk kanë bllokim më të ngushtë. Fijet e Mozilla-s përshkruajnë mosbesimin emergjent të rrënjës emSign ECC, gjenerata e tretë. Heqja e një rrënjë nga një dyqan besimi bllokon zinxhirët që mbështeten në

2:54 të, edhe kur çelësi privat i rrënjës nuk u komprometua kurrë. Publikimi më i fundit i certifikatave të Python është një përditësim i mëvonshëm.

Cilat përditësime arritën në Python dhe Node?

3:01 Angazhimi i tij gjithashtu rikthen rrënjët e paafektuara të emSign pas një heqjeje të mëparshme. Fshirja e gjithçkaje që mban emrin e kompanisë është një zëvendësim i dobët për paketën e mirëmbajtur. Ju dëshironi që zinxhiri i rrezikshëm të refuzohet dhe klientët legjitimë ende të punojnë. Historia e publikimit ruan të dyja vendimet. Pastrimi i sigurisë ka detyrën glamuroze të jetë urgjent, preciz, dhe fajësohet për çdo shërbim që prishet gjatë drekës. Versioni i Node 24.22.1 u dërgua sot me rrënjë të përditësuara.

3:26 Kontrolloni këshillën e degës tuaj dhe konfigurimin aktual të CA. Një paketë e personalizuar mund të ndryshojë cilin dyqan besimi përdor procesi. Në Tor, një studiues publikoi një llogari dje për treqind e tridhjetë e

Çfarë kapi paralajmërimi i çelësit të hostit të Tor-it?

3:36 tre releta dalëse të komprometuara. Përgjimi filloi në fillim të këtij muaji. Relet u shënuan dhe u mbyllën disa ditë më vonë, para se të mbërrinte shkrimi. SSH paralajmëroi studiuesin se identiteti i serverit kishte ndryshuar. Ai e raportoi atë në ekipin e shëndetit të rrjetit të Tor-it. Njoftimi i operatorit të tyre konfirmon raportet e përgjimit. Ai paralajmërim po bënte pikërisht gjënë e papërshtatshme që duhet të bëjë vërtetimi.

3:57 Përafërsisht dhjetë për qind numëronin releta me kapacitete të ndryshme, duke lënë pjesën e trafikut të pamatshme. Rrugëtimi i Tor-it dhe identiteti i serverit SSH kanë detyra të ndryshme. Verifikoni një çelës hosti të ndryshuar përmes një kanali të besueshëm para se ta pranoni dhe të hyni. Kthehuni në aplikacionin tuaj, filloni me kontejnerin e ekzekutimit ose mjedisin virtual.

Si e kontrolloni rregullimin e vendosur?

4:12 Gjeni paketën e CA-së që ai përdor në të vërtetë dhe aplikoni përditësimin përkatës të mirëmbajtur. Rindërtoni dhe rinisni procesin e vendosur në mënyrë që të mund të ngarkojë materialin e ndryshuar të besimit. Përdorni zinxhirët publikë të testimit të mirëmbajtësve në mjedisin real të klientit. Mbajeni gabimin e certifikatës të ndarë nga mbarimi i kohës së rrjetit. Një lidhje e dështuar në Wi-Fi të hotelit është një test i shkëlqyer i Wi-Fi të hotelit. Varësia e vogël është një dyqan besimi i paketuar veçmas, si certifi. Shfletuesi juaj i desktopit nuk e redakton kurrë atë varësi brenda një kontejneri të vjetër. Procesi i vendosur dhe konfigurimi i tij vendosin nëse rregullimi arriti.

4:42 Ky është vendi për të verifikuar përditësimin tuaj. Nëse preferoni ta lexoni këtë sesa të më dëgjoni ta them, ndryshimi arrin në kutinë tuaj hyrëse çdo mëngjes, falas në thedailydiff.dev, lidhja më poshtë.

Çfarë merr vulën NEEDS REVIEW?

4:51 Pra, vendimi i sotëm është NEEDS REVIEW. Dua që besimi i klientit të vendosur të kontrollohet para se dikush ta mbyllë këtë incident. Abonohuni, shtypni zilen dhe më thoni në komente nëse do ta kishit vulosur ndryshe. Dhe ky është ndryshimi për sot. Unë jam Niko nga Axrisi. Bashkohuni me përgjegjësi.

Burimet

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health