Компромитовање eMudhra интермедијарног ЦА: блоклисте прегледача и јаз у поверењу током извршавања

Шта овај видео покрива

• Компромитовани кључеви припадају интермедијарним потписницима. Неповерење у корен може ублажити ланац без доказивања да је коренски приватни кључ компромитован.
• Хитна блоклиста прегледача и пакетирана ЦА продавница апликације могу пратити одвојене путање ажурирања. Проверите процес који је у току и његову стварну конфигурацију поверења.
• Mozilla је независно потврдила обновљиве приватне кључеве. Извештај не описује CT уносе за погођене интермедијере; стварна злоупотреба против других клијената остаје непозната.
• Примарна издања верификују certifi 2026.10.19 и Node 24.22.1 за дискутоване гране. Прилагођени ЦА пакети и друге гране током извршавања захтевају сопствене провере.
• Рачун Тор истраживача са 333 релеја односи се на инцидент из ранијег октобра објављен 20. октобра. Отприлике десет процената је број релеја, а не мерење пресретнутог саобраћаја.
• Сам мрежни тајмаут не утврђује да је валидација сертификата одбила компромитовани ланац. Сачувајте верификацију и разликујте грешке транспорта од грешака аутентификације.

Преведени транскрипт

Преведено са оригиналне енглеске нарације. Доступни аудио и титлови контролисани су од стране YouTube-а.

Зашто фиксирани прегледач може оставити апликацију изложену?

0:00 Поправак прегледача eMudhra звучи као да је све чисто. Осам компромитованих кључева за потписивање и даље оставља софтвер са застарелим одлукама о поверењу. У овом видеу, ко може да потпише? Зашто се клијенти не слажу? И које ажурирање заправо долази до ваше апликације? Једна мала зависност чува сопствену листу поверења. Вратићемо се на процес који одлучује да ли је ваш поправак стигао. Среда је, двадесет први октобар, а ово је The Daily Diff.

0:22 eMudhra је ауторитет за сертификате. Потписује дигиталне сертификате који помажу софтверу да аутентификује веб сајтове и услуге. Компромитовани кључеви укључују шест који се користе за веб везе и два за потписивање софтвера. Интермедијарни је делегирани потписник испод поузданог корена. У петак, репортер по имену Вејн послао је доказ кореним програмима. До уторка, страница јавног инцидента објашњавала је чишћење. Данас, програмери откривају колико копија поверења је њихова савршено нормална апликација прикупила.

Шта овлашћује интермедијарни кључ?

0:49 Ево обичног ланца. Сајт представља сертификат, интермедијар га потписује, а ваш клијент прати ланац до корена коме већ верује. Корен је ваша локална почетна тачка. Ко год контролише приватни кључ интермедијера може потписати под тим ауторитетом. Математички валидан потпис може имати потпуно непоузданог потписника. Валидатор треба начин да повуче поверење након компромитације. Вејн је потписао поруку, Имамо проблем овде, Вејн,

1:12 са сваким кључем. Mozilla је проверила контролу кључева, затим независно повратила кључеве. Хитни одговор је почео реченицом која звучи као да је неко приметио да канцеларијски штампач дими.

Шта је доказано, а шта остаје непознато?

1:22 Јавни извештај каже да су кључеви генерисани погрешно и да се могу повратити из сертификата, креираних у априлу прошле године. Стварна злоупотреба против другог софтвера је и даље непозната. Повративна овлашћења за потписивање су довољно хитна без измишљене листе жртава. Постоји важно ограничење овде. Извештај није пронашао уносе о транспарентности сертификата за те интермедијере током тог периода.

1:42 Каже да прегледачи који спроводе транспарентност нису могли бити нападнути путем овог пута. Та додатна провера прегледача помаже да се објасни зашто сам наслов преувеличава слику. eMudhra је обавестила Mozillu да је око тридесет хиљада сертификата потребно мигрирати на други ланац. То су радне услуге чији власници морају заменити сертификате током чишћења. Негде, позивница за календар је управо постала производна зависност.

Зашто се прегледач и окружење за извршавање не слажу?

2:03 Добављачи прегледача дистрибуирају хитне блоклисте. Извештај бележи акцију Firefox-а и Chrome-а у петак, након чега следе Apple и Microsoft. Ови клијенти могу одбити компромитовани интермедијар, истовремено препознајући његов корен. То правило путује одвојено од пакета ваше апликације. Неки клијенти проверавају ланац против поузданих корена без конзумирања хитних информација о опозвању. Ауторитет може објавити опозив, а тај клијент може наставити да прихвата ланац.

2:27 Стављање знака на врата боље функционише када посетилац чита знакове. Mozilla каже да неки Андроид профили нису успели да примене ажурирану блоклисту при покретању. Поправак је испоручен у Firefox-у 158.02. Зато, такође, држите прегледач ажурираним. Обавештење не може да попише ваш телефон. Одржавачи могу уклонити сидро поверења када клијентима недостаје уже блокирање. Mozillin thread описује хитно неповерење у emSign ECC корен, генерација три. Уклањање корена из продавнице поверења блокира ланце који се ослањају на

2:54 њега, чак и када приватни кључ самог корена никада није компромитован. Најновије издање Python-овог certifi-ja је једно накнадно ажурирање.

Која ажурирања су стигла до Python-а и Node-а?

3:01 Његов commit такође враћа нетакнуте emSign корене након ранијег уклањања. Брисање свега што носи назив компаније је лоша замена за одржавани пакет. Желите да се опасан ланац одбије, а легитимни корисници и даље раде. Историја издања чува обе одлуке. Безбедносно чишћење има гламурозан посао да буде хитно, прецизно и окривљено за сваку услугу која се поквари током ручка. Node верзија 24.22.1 испоручена је данас са ажурираним

3:26 коренима. Проверите саветник ваше гране и стварну ЦА конфигурацију. Прилагођени пакет може променити коју продавницу поверења процес користи. У Тору, истраживач је јуче објавио извештај о три стотине тридесет

Шта је ухватило упозорење о Тор хост кључу?

3:36 три компромитована излазна релеја. Пресретање је почело раније овог месеца. Релеји су означени и искључени неколико дана касније, пре него што је извештај стигао. SSH је упозорио истраживача да се идентитет сервера променио. Он је то пријавио Тор тиму за здравље мреже. Њихова обавештење оператера потврђује извештаје о пресретању. То упозорење је радило тачно незгодну ствар коју би аутентификација требало да

3:57 ради. Отприлике десет процената је бројало релеје различитих капацитета, остављајући удео саобраћаја немереним. Тор рутирање и идентитет ССХ сервера имају одвојене послове. Верификујте промењени хост кључ путем поузданог канала пре него што га прихватите и пријавите се. У вашој апликацији, почните са покренутим контејнером или виртуелним окружењем.

Како проверити примењени фикс?

4:12 Пронађите ЦА пакет који заиста користи и примените релевантно ажурирање које се одржава. Поново изградите и поново покрените примењени процес тако да може да учита промењени материјал поверења. Користите јавне тест ланце одржаваоца у стварном окружењу клијента. Одвојите грешку сертификата од мрежног тајмаута. Неуспела веза на хотелском Wi-Fi-ју је одличан тест хотелског Wi-Fi-ја. Мала зависност је одвојено пакетирана продавница поверења, као certifi. Ваш десктоп прегледач никада не мења ту зависност унутар старог контејнера. Примењени процес и његова конфигурација одлучују да ли је поправак

4:42 стигао. То је место за верификацију вашег ажурирања. Ако бисте радије ово прочитали него да ме чујете како то говорим, diff вам стиже у инбокс сваког јутра, бесплатно на the daily diff dot dev, линк испод.

Шта добија ознаку NEEDS REVIEW?

4:51 Дакле, данашња пресуда је NEEDS REVIEW. Желим да се провери поверење примењеног клијента пре него што ико затвори овај инцидент. Претплатите се, притисните звоно и реците ми у коментарима да ли бисте га означили другачије. И то је diff за данас. Ја сам Нико из Axrisi-ја. Спајајте одговорно.

Извори

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health