# Kompromitovanje eMudhra intermedijarnog CA: blokliste pretraživača i jaz poverenja u runtime okruženju

Published: 2026-10-21

Osam eMudhra intermedijarnih ključeva za potpisivanje je kompromitovano, uključujući šest korišćenih za TLS i dva za potpisivanje koda. Epizoda prati Mozilinu potvrdu, blokiranje u pretraživačima i naknadna ažuriranja da bi objasnila zašto instalirana aplikacija treba da ima proverenu sopstvenu konfiguraciju poverenja. Poseban Tor izveštaj pokazuje da upozorenje o identitetu SSH hosta obavlja svoj posao.

Canonical: https://thedailydiff.dev/sr-Latn/video/2026-10-21-emudhra-trust-gap/

## Šta ovaj video pokriva

- Kompromitovani ključevi pripadaju intermedijarnim potpisnicima. Nepoverenje u root može ublažiti lanac bez dokazivanja da je root privatni ključ kompromitovan.
- Hitna bloklista pretraživača i prodavnica CA paketa aplikacije mogu pratiti zasebne putanje ažuriranja. Proverite pokrenuti proces i njegovu stvarnu konfiguraciju poverenja.
- Mozilla je nezavisno potvrdila oporavljive privatne ključeve. Izveštaj ne opisuje CT unose za pogođene intermedijare; stvarna zloupotreba protiv drugih klijenata ostaje nepoznata.
- Primarne verzije verifikuju certifi 2026.10.19 i Node 24.22.1 za diskutovane grane. Prilagođeni CA paketi i druge grane runtime okruženja zahtevaju sopstvene provere.
- Izveštaj Tor istraživača o 333 releja odnosi se na incident iz ranijeg oktobra objavljen 20. oktobra. Otprilike deset posto je broj releja, a ne merenje presretnutog saobraćaja.
- Sam mrežni prekid ne utvrđuje da je validacija sertifikata odbila kompromitovani lanac. Sačuvajte verifikaciju i razlikujte transportne greške od grešaka u autentifikaciji.

## Poglavlja

- 0:00 Zašto fiksni pretraživač može ostaviti aplikaciju izloženom?
- 0:49 Šta ovlašćuje intermedijarni ključ?
- 1:22 Šta je dokazano, a šta ostaje nepoznato?
- 2:03 Zašto se pretraživač i runtime okruženje ne slažu?
- 2:58 Koja su ažuriranja stigla do Pythona i Nodea?
- 3:33 Šta je uhvatilo Tor upozorenje o host ključu?
- 4:10 Kako proveriti primenjenu popravku?
- 4:51 Šta dobija pečat POTREBNO PREGLEDA?

## Preveden transkript

Prevedeno sa originalne engleske naracije. Dostupan audio i titlovi kontrolisani su od strane YouTube-a.

### Zašto fiksni pretraživač može ostaviti aplikaciju izloženom?

0:00 Popravka eMudhra pretraživača zvuči kao sve je čisto. Osam kompromitovanih ključeva za potpisivanje i dalje ostavljaju softver sa zastarelim odlukama o poverenju. U ovom videu, ko može da potpisuje? Zašto se klijenti ne slažu? I koje ažuriranje zapravo stiže do vaše aplikacije? Jedna sićušna zavisnost čuva sopstvenu listu poverenja. Vratićemo se na proces koji odlučuje da li je vaša popravka stigla. Sreda je, dvadeset prvi oktobar, i ovo je The Daily Diff.

0:22 eMudhra je sertifikaciono telo. Ono potpisuje digitalne sertifikate koji pomažu softveru da autentifikuje veb stranice i usluge. Kompromitovani ključevi uključuju šest korišćenih za veb veze i dva za potpisivanje softvera. Intermedijar je delegirani potpisnik ispod pouzdanog root-a. U petak je reporter po imenu Wayne poslao dokaz root programima. Do utorka, stranica sa javnim incidentom objašnjavala je čišćenje. Danas, programeri mogu da otkriju koliko kopija poverenja je njihova savršeno normalna aplikacija sakupila.

### Šta ovlašćuje intermedijarni ključ?

0:49 Evo običnog lanca. Sajt predstavlja sertifikat, intermedijar ga potpisuje, i vaš klijent prati lanac do root-a kome već veruje. Root je vaša lokalna početna tačka. Ko god kontroliše privatni ključ intermedijara, može potpisivati pod tim autoritetom. Matematički validan potpis može imati potpuno nepouzdanog potpisnika. Validatoru je potreban način da povuče poverenje nakon kompromitacije. Wayne je potpisao poruku, Imamo problem ovde, Wayne,

1:12 sa svakim ključem. Mozilla je verifikovala kontrolu ključeva, a zatim nezavisno oporavila ključeve. Hitni odgovor je počeo rečenicom koja zvuči kao da je neko primetio da kancelarijski štampač dimi.

### Šta je dokazano, a šta ostaje nepoznato?

1:22 Javni izveštaj kaže da su ključevi netačno generisani i oporavljivi iz sertifikata, kreiranih u aprilu prošle godine. Stvarna zloupotreba protiv drugog softvera je i dalje nepoznata. Oporavljiv autoritet za potpisivanje je dovoljno hitan i bez izmišljenog spiska žrtava. Ovde postoji važno ograničenje. Izveštaj nije pronašao unose za transparentnost sertifikata za te intermedijare tokom tog perioda.

1:42 Kaže se da pretraživači koji primenjuju transparentnost nisu mogli biti napadnuti ovim putem. Ta dodatna provera pretraživača pomaže da se objasni zašto sam naslov preuveličava sliku. eMudhra je rekla Mozili da je oko trideset hiljada sertifikata moralo biti migrirano na drugi lanac. To su radne usluge čiji vlasnici moraju zameniti sertifikate tokom čišćenja. Negde je pozivnica u kalendaru upravo postala produkcijska zavisnost.

### Zašto se pretraživač i runtime okruženje ne slažu?

2:03 Dobavljači pretraživača distribuiraju hitne blokliste. Izveštaj beleži akcije Firefoxa i Chromea u petak, nakon čega slede Apple i Microsoft. Ovi klijenti mogu odbiti kompromitovani intermedijar dok prepoznaju njegov root. To pravilo putuje odvojeno od paketa vaše aplikacije. Neki klijenti proveravaju lanac u odnosu na pouzdane root-ove bez konzumiranja hitnih informacija o povlačenju. Autoritet može objaviti povlačenje, a taj klijent može nastaviti da prihvata lanac.

2:27 Postavljanje znaka na vrata bolje funkcioniše kada posetilac čita znakove. Mozilla kaže da neki Android profili nisu uspeli da primene ažuriranu bloklistu pri pokretanju. Popravka je isporučena u Firefoxu jedan pedeset osam tačka nula dva. Zato i pretraživač držite ažurnim. Objava ne može inventarisati vaš telefon. Održavaoci mogu ukloniti sidro poverenja kada klijentima nedostaje uže blokiranje. Mozillin thread opisuje hitno nepoverenje u emSign ECC root, generacija tri. Uklanjanje root-a iz prodavnice poverenja blokira lance koji se oslanjaju na

2:54 njega, čak i kada sam privatni ključ root-a nikada nije kompromitovan. Pythonovo najnovije izdanje certifi je jedno naknadno ažuriranje.

### Koja su ažuriranja stigla do Pythona i Nodea?

3:01 Njegov commit takođe vraća nepristrasne emSign root-ove nakon ranijeg uklanjanja. Brisanje svega što nosi ime kompanije je loša zamena za održavani paket. Želite da opasan lanac bude odbijen, a legitimni korisnici i dalje rade. Istorija izdanja čuva obe odluke. Sigurnosno čišćenje ima glamurozan posao da bude hitno, precizno i okrivljeno za svaku uslugu koja se pokvari tokom ručka. Node verzija dvadeset četiri tačka dvadeset dva tačka jedan isporučena je danas sa ažuriranim

3:26 root-ovima. Proverite savete za sopstvenu granu i stvarnu CA konfiguraciju. Prilagođeni paket može promeniti koju prodavnicu poverenja proces koristi. U Toru, istraživač je juče objavio izveštaj o trista trideset

### Šta je uhvatilo Tor upozorenje o host ključu?

3:36 tri kompromitovana izlazna releja. Presretanje je počelo ranije ovog meseca. Releji su označeni i isključeni nekoliko dana kasnije, pre nego što je stigao izveštaj. SSH je upozorio istraživača da se identitet servera promenio. On je to prijavio Torovom timu za zdravlje mreže. Njihovo obaveštenje operatora potvrđuje izveštaje o presretanju. To upozorenje je radilo upravo nezgodnu stvar koju bi autentifikacija trebalo

3:57 da radi. Otprilike deset procenata je prebrojalo releje sa različitim kapacitetima, ostavljajući udeo saobraćaja nemerenim. Tor rutiranje i SSH identitet servera imaju zasebne poslove. Proverite promenjeni host ključ putem pouzdanog kanala pre nego što ga prihvatite i prijavite se. Vratite se u svoju aplikaciju, počnite sa pokrenutim kontejnerom ili virtuelnim okruženjem.

### Kako proveriti primenjenu popravku?

4:12 Pronađite CA paket koji zapravo koristi i primenite relevantno održavano ažuriranje. Ponovo izgradite i restartujte primenjeni proces kako bi mogao da učita promenjeni materijal poverenja. Koristite javne testne lance održavaoca u stvarnom okruženju klijenta. Držite grešku sertifikata odvojenu od mrežnog prekida. Neuspela veza na hotelskom Wi-Fi-ju je odličan test hotelskog Wi-Fi-ja. Sićušna zavisnost je zasebno upakovana prodavnica poverenja, poput certifi. Vaš desktop pretraživač nikada ne uređuje tu zavisnost unutar starog kontejnera. Primenjeni proces i njegova konfiguracija odlučuju da li je popravka

4:42 stigla. To je mesto za verifikaciju vašeg ažuriranja. Ako biste ovo radije pročitali nego čuli kako ga ja kažem, diff stiže u vaše sanduče svakog jutra, besplatno na the daily diff dot dev, link ispod.

### Šta dobija pečat POTREBNO PREGLEDA?

4:51 Dakle, današnja presuda je POTREBNO PREGLEDA. Želim da se poverenje primenjenog klijenta proveri pre nego što se ovaj incident zatvori. Pretplatite se, pritisnite zvono i recite mi u komentarima da li biste ga označili drugačije. I to je diff za danas. Ja sam Niko iz Axrisi-ja. Spajajte odgovorno.

## Izvori

- [eMudhra Intermediate CA Compromise](https://emudhra.we-have-a-problem.com/) — Dennis Jackson
- [Private key compromise of eMudhra Intermediate Certificates](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449) — Mozilla Bugzilla
- [certifi 2026.10.19 release](https://github.com/certifi/python-certifi/releases/tag/2026.10.19) — certifi
- [Restore unaffected emSign roots](https://github.com/certifi/python-certifi/commit/662df63d7906df66f1f07c0751a3dfe9da14d914) — certifi
- [Node 24.22.1 security release](https://github.com/nodejs/node/releases/tag/v24.22.1) — Node.js
- [Update root certificates to NSS 3.131.1](https://github.com/nodejs/node/pull/66877) — Node.js
- [How I got over 300 Tor exit nodes removed](https://kaba.cx/posts/20261020_Tor/) — KABA
- [Security incident affecting some relay operators](https://lists.torproject.org/mailman3/hyperkitty/list/tor-relays@lists.torproject.org/thread/WOHPLKCSHYXFTBRZXDENDKJZMBMPLMG5/) — Tor Project network health