Komprometimi i CA-së së ndërmjetme eMudhra: bllokimet e shfletuesit dhe boshllëku i besimit në kohën e ekzekutimit
Tetë çelësa nënshkrimi të ndërmjetëm të eMudhra u komprometuan, duke përfshirë gjashtë të përdorur për TLS dhe dy për nënshkrimin e kodit.
Tetë çelësa nënshkrimi të ndërmjetëm të eMudhra u komprometuan, duke përfshirë gjashtë të përdorur për TLS dhe dy për nënshkrimin e kodit. Episodi pason konfirmimin e Mozilla-s, bllokimin e shfletuesit dhe përditësimet e mëvonshme për të shpjeguar pse një aplikacion i vendosur ka nevojë të kontrollohet konfigurimi i tij i besimit. Një raport i veçantë i Tor tregon një paralajmërim të identitetit të hostit SSH që bën punën e tij.
Lexoni edicionin e shkruar (anglisht) ↗
Çfarë mbulon kjo video
- Çelësat e komprometuar u përkasin nënshkruesve të ndërmjetëm. Mosbesimi i rrënjës mund të zbusë një zinxhir pa provuar se çelësi privat i rrënjës u komprometua.
- Një listë bllokimi emergjente e shfletuesit dhe një dyqan CA i përfshirë në aplikacion mund të ndjekin rrugë të ndryshme përditësimi. Kontrolloni procesin e ekzekutimit dhe konfigurimin e tij aktual të besimit.
- Mozilla konfirmoi në mënyrë të pavarur çelësat privatë të rikuperueshëm. Raporti nuk përshkruan asnjë hyrje CT për ndërmjetësit e prekur; keqpërdorimi aktual kundër klientëve të tjerë mbetet i panjohur.
- Publikimet kryesore verifikojnë certifi 2026.10.19 dhe Node 24.22.1 për degët e diskutuara. Paketat e personalizuara të CA-së dhe degët e tjera të kohës së ekzekutimit kanë nevojë për kontrollet e tyre.
- Llogaria e studiuesit të Tor-it me 333 rele ka të bëjë me një incident të fillim-tetorit të publikuar më 20 tetor. Përafërsisht dhjetë për qind është numër relesh, jo matje e trafikut të përgjuar.
- Një mbarim i kohës së rrjetit nuk vërteton vetëm se vërtetimi i certifikatës refuzoi një zinxhir të komprometuar. Ruani verifikimin dhe dalloni gabimet e transportit nga dështimet e vërtetimit.
Pyetje dhe përgjigje
Çfarë i lejon një sulmuesi të bëjë një çelës CA i ndërmjetëm i kompromentuar?
Kushdo që kontrollon çelësin privat të një ndërmjetësi mund të nënshkruajë çertifikata nën atë autoritet, dhe nënshkrimi është matematikisht i vlefshëm edhe pse nënshkruesi është i pabesueshëm. Në rastin e eMudhra, Mozilla verifikoi kontrollin e çelësit dhe rikuperoi në mënyrë të pavarur çelësat. Tetë çelësa u prekën, gjashtë u përdorën për lidhje në ueb dhe dy për nënshkrimin e softuerit. Raporti i Dennis Jackson thotë se keqpërdorimi aktual kundër softuerëve të tjerë është ende i panjohur.
Pse një shfletues mund të refuzojë një zinxhir çertifikatash që një aplikacion serveri ende i beson?
Shfletuesit marrin lista bllokimi emergjente që mund të refuzojnë një ndërmjetës të komprometuar ndërsa ende njohin rrënjën e tij. Ai rregull udhëton veçmas nga dyqani i CA-ve të paketuar të një aplikacioni. Raporti regjistron veprimet e Firefox dhe Chrome të premten, të ndjekura nga Apple dhe Microsoft. Disa klientë kontrollojnë zinxhirët kundër rrënjëve të besuara pa konsumuar informacione për revokimin emergjent dhe mund të vazhdojnë të pranojnë një zinxhir të revokuar.
Cilat azhurnime e mbartin mosbesimin e eMudhra në aplikacionet Python dhe Node.js?
Lëshimi i certifikimit të Python 2026.10.19 është një azhurnim i mëvonshëm, dhe komiteti i tij gjithashtu rivendos rrënjët e paefektuara të emSign pas një heqjeje të mëparshme. Node 24.22.1 u dërgua me rrënjë të azhurnuara, si një lëshim sigurie për degët e diskutuara. Paketimet e personalizuara të CA-ve dhe degët e tjera të kohës së ekzekutimit kanë nevojë për kontrollet e tyre, sepse një paketim i personalizuar mund të ndryshojë cilin dyqan besimi përdor procesi.
Si të kontrolloj që një rregullim i mosbesimit të CA-së ka arritur në të vërtetë në aplikacionin tim të vendosur?
Filloni me kontejnerin e ekzekutimit ose mjedisin virtual dhe gjeni paketimin e CA-së që ai përdor në të vërtetë. Aplikoni azhurnimin e mirëmbajtur përkatës, pastaj rindërtoni dhe rinisni procesin në mënyrë që të ngarkojë materialin e besimit të ndryshuar. Testoni me zinxhirët publikë të testimit të mirëmbajtësve në mjedisin real të klientit, dhe mbani një gabim çertifikate veçmas nga një afat kohor i rrjetit, pasi një afat kohor vetëm nuk tregon se validimi refuzoi një zinxhir.
A duhet që ekipet ta konsiderojnë incidentin e eMudhra të mbyllur pasi shfletuesit bllokojnë ndërmjetësit?
Vendimi i The Daily Diff ishte NEEDS REVIEW. Episodi kërkon që besimi i klientit të vendosur të kontrollohet para se kushdo të mbyllë incidentin. Një listë bllokimi e shfletuesit dhe një dyqan CA i paketuar i një aplikacioni ndjekin rrugë të veçanta azhurnimi, kështu që procesi i vendosur dhe konfigurimi i tij vendosin nëse rregullimi mbërriti. Mozilla konfirmoi çelësa privatë të rikuperueshëm, ndërsa keqpërdorimi kundër klientëve të tjerë mbetet i panjohur.
Transkript i përkthyer
Përkthyer nga tregimi origjinal në anglisht. Audio dhe titrat e disponueshme kontrollohen nga YouTube.
Pse një shfletues i rregulluar mund ta lërë një aplikacion të ekspozuar?
0:00 Rregullimi i shfletuesit eMudhra duket si një dritë jeshile. Tetë çelësa nënshkrimi të komprometuar ende lënë softuerin me vendime të vjetruara besimi. Në këtë video, kush mund të nënshkruajë? Pse klientët nuk pajtohen? Dhe cili përditësim arrin në të vërtetë aplikacionin tuaj? Një varësi e vogël mban listën e vet të besimit. Do t'i kthehemi procesit që vendos nëse rregullimi juaj arriti. Është e mërkurë, njëzetenjë tetori, dhe ky është The Daily Diff.
0:22 eMudhra është një autoritet certifikimi. Ajo nënshkruan certifikata dixhitale që ndihmojnë softuerin të vërtetojë faqet e internetit dhe shërbimet. Çelësat e komprometuar përfshijnë gjashtë të përdorur për lidhje në ueb dhe dy për nënshkrimin e softuerit. Një ndërmjetës është një nënshkrues i deleguar nën një rrënjë të besueshme. Të premten, një reporter i quajtur Wayne dërgoi prova në programet rrënjësore. Deri të martën, faqja publike e incidentit po shpjegonte pastrimin. Sot, zhvilluesit zbulojnë sa kopje besimi ka mbledhur aplikacioni i tyre perfektisht normal.
Çfarë autorizon një çelës ndërmjetës?
0:49 Këtu është zinxhiri i zakonshëm. Një faqe paraqet një certifikatë, një ndërmjetës e nënshkruan atë, dhe klienti juaj ndjek zinxhirin deri te një rrënjë që ai tashmë i beson. Rrënja është pika juaj lokale e nisjes. Kushdo që kontrollon çelësin privat të ndërmjetësit mund të nënshkruajë nën atë autoritet. Një nënshkrim matematikisht i vlefshëm mund të ketë një nënshkrues plotësisht të pabesueshëm. Vërtetuesi ka nevojë për një mënyrë për të tërhequr besimin pas një komprometimi. Wayne nënshkroi mesazhin, Kemi një problem këtu, Wayne,
1:12 me çdo çelës. Mozilla verifikoi kontrollin e çelësit, pastaj rikuperoi në mënyrë të pavarur çelësat. Përgjigja emergjente filloi me një fjali që tingëllon sikur dikush vuri re që printeri i zyrës po nxirrte tym.
Çfarë është vërtetuar dhe çfarë mbetet e panjohur?
1:22 Raporti publik thotë se çelësat ishin gjeneruar gabimisht dhe të rikuperueshëm nga certifikatat, të krijuara në prill të vitit të kaluar. Keqpërdorimi aktual kundër softuerit tjetër është ende i panjohur. Autoriteti i nënshkrimit i rikuperueshëm është mjaft urgjent edhe pa një listë viktimash të sajuara. Këtu ka një kufizim të rëndësishëm. Raporti nuk gjeti asnjë hyrje transparence certifikate për ato ndërmjetës gjatë asaj periudhe.
1:42 Thuhet se shfletuesit që zbatonin transparencën nuk mund të ishin sulmuar përmes kësaj rruge. Ai kontroll shtesë i shfletuesit ndihmon të shpjegohet pse titulli vetëm e ekzagjeron tablonë. eMudhra i tha Mozilla-s se rreth tridhjetë mijë certifikata kishin nevojë për migrim në një zinxhir tjetër. Këto janë shërbime funksionale, pronarët e të cilave duhet të zëvendësojnë certifikatat gjatë pastrimit. Diku, një ftesë kalendari sapo u bë një varësi prodhimi.
Pse shfletuesi dhe koha e ekzekutimit nuk pajtohen?
2:03 Furnizuesit e shfletuesve shpërndajnë lista bllokimi emergjente. Raporti regjistron veprimet e Firefox dhe Chrome të premten, pasuar nga Apple dhe Microsoft. Këta klientë mund të refuzojnë ndërmjetësin e komprometuar duke njohur rrënjën e tij. Ai rregull udhëton veçmas nga paketa e aplikacionit tuaj. Disa klientë kontrollojnë një zinxhir kundër rrënjëve të besuara pa konsumuar informacionin e revokimit emergjent. Autoriteti mund të publikojë një revokim, dhe ai klient mund të vazhdojë të pranojë zinxhirin.
2:27 Vendosja e një shenje në derë funksionon më mirë kur vizitori lexon shenjat. Mozilla thotë se disa profile Android nuk arritën të aplikonin listën e bllokimit të përditësuar në nisje. Një rregullim u dërgua në Firefox 158.02. Pra, mbajeni shfletuesin aktual gjithashtu. Njoftimi nuk mund të inventarizojë telefonin tuaj. Mirëmbajtësit mund të heqin një ankorë besimi kur klientët nuk kanë bllokim më të ngushtë. Fijet e Mozilla-s përshkruajnë mosbesimin emergjent të rrënjës emSign ECC, gjenerata e tretë. Heqja e një rrënjë nga një dyqan besimi bllokon zinxhirët që mbështeten në
2:54 të, edhe kur çelësi privat i rrënjës nuk u komprometua kurrë. Publikimi më i fundit i certifikatave të Python është një përditësim i mëvonshëm.
Cilat përditësime arritën në Python dhe Node?
3:01 Angazhimi i tij gjithashtu rikthen rrënjët e paafektuara të emSign pas një heqjeje të mëparshme. Fshirja e gjithçkaje që mban emrin e kompanisë është një zëvendësim i dobët për paketën e mirëmbajtur. Ju dëshironi që zinxhiri i rrezikshëm të refuzohet dhe klientët legjitimë ende të punojnë. Historia e publikimit ruan të dyja vendimet. Pastrimi i sigurisë ka detyrën glamuroze të jetë urgjent, preciz, dhe fajësohet për çdo shërbim që prishet gjatë drekës. Versioni i Node 24.22.1 u dërgua sot me rrënjë të përditësuara.
3:26 Kontrolloni këshillën e degës tuaj dhe konfigurimin aktual të CA. Një paketë e personalizuar mund të ndryshojë cilin dyqan besimi përdor procesi. Në Tor, një studiues publikoi një llogari dje për treqind e tridhjetë e
Çfarë kapi paralajmërimi i çelësit të hostit të Tor-it?
3:36 tre releta dalëse të komprometuara. Përgjimi filloi në fillim të këtij muaji. Relet u shënuan dhe u mbyllën disa ditë më vonë, para se të mbërrinte shkrimi. SSH paralajmëroi studiuesin se identiteti i serverit kishte ndryshuar. Ai e raportoi atë në ekipin e shëndetit të rrjetit të Tor-it. Njoftimi i operatorit të tyre konfirmon raportet e përgjimit. Ai paralajmërim po bënte pikërisht gjënë e papërshtatshme që duhet të bëjë vërtetimi.
3:57 Përafërsisht dhjetë për qind numëronin releta me kapacitete të ndryshme, duke lënë pjesën e trafikut të pamatshme. Rrugëtimi i Tor-it dhe identiteti i serverit SSH kanë detyra të ndryshme. Verifikoni një çelës hosti të ndryshuar përmes një kanali të besueshëm para se ta pranoni dhe të hyni. Kthehuni në aplikacionin tuaj, filloni me kontejnerin e ekzekutimit ose mjedisin virtual.
Si e kontrolloni rregullimin e vendosur?
4:12 Gjeni paketën e CA-së që ai përdor në të vërtetë dhe aplikoni përditësimin përkatës të mirëmbajtur. Rindërtoni dhe rinisni procesin e vendosur në mënyrë që të mund të ngarkojë materialin e ndryshuar të besimit. Përdorni zinxhirët publikë të testimit të mirëmbajtësve në mjedisin real të klientit. Mbajeni gabimin e certifikatës të ndarë nga mbarimi i kohës së rrjetit. Një lidhje e dështuar në Wi-Fi të hotelit është një test i shkëlqyer i Wi-Fi të hotelit. Varësia e vogël është një dyqan besimi i paketuar veçmas, si certifi. Shfletuesi juaj i desktopit nuk e redakton kurrë atë varësi brenda një kontejneri të vjetër. Procesi i vendosur dhe konfigurimi i tij vendosin nëse rregullimi arriti.
4:42 Ky është vendi për të verifikuar përditësimin tuaj. Nëse preferoni ta lexoni këtë sesa të më dëgjoni ta them, ndryshimi arrin në kutinë tuaj hyrëse çdo mëngjes, falas në thedailydiff.dev, lidhja më poshtë.
Çfarë merr vulën NEEDS REVIEW?
4:51 Pra, vendimi i sotëm është NEEDS REVIEW. Dua që besimi i klientit të vendosur të kontrollohet para se dikush ta mbyllë këtë incident. Abonohuni, shtypni zilen dhe më thoni në komente nëse do ta kishit vulosur ndryshe. Dhe ky është ndryshimi për sot. Unë jam Niko nga Axrisi. Bashkohuni me përgjegjësi.
Burimet
- eMudhra Intermediate CA CompromiseDennis Jackson
- Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
- certifi 2026.10.19 releasecertifi
- Restore unaffected emSign rootscertifi
- Node 24.22.1 security releaseNode.js
- Update root certificates to NSS 3.131.1Node.js
- How I got over 300 Tor exit nodes removedKABA
- Security incident affecting some relay operatorsTor Project network health
