การประนีประนอม CA ระดับกลางของ eMudhra: บัญชีดำของเบราว์เซอร์และช่องว่างความน่าเชื่อถือรันไทม์

วิดีโอนี้ครอบคลุมอะไรบ้าง

• คีย์ที่ถูกบุกรุกเป็นของผู้ออกใบรับรองระดับกลาง การไม่เชื่อถือรูทสามารถลดความเสียหายของเชนได้โดยไม่ต้องพิสูจน์ว่าคีย์ส่วนตัวรูทถูกบุกรุก
• บัญชีดำฉุกเฉินของเบราว์เซอร์และที่เก็บ CA ที่มาพร้อมกับแอปพลิเคชันสามารถมีเส้นทางการอัปเดตแยกกันได้ ตรวจสอบกระบวนการที่กำลังทำงานอยู่และการกำหนดค่าความน่าเชื่อถือที่แท้จริง
• Mozilla ยืนยันคีย์ส่วนตัวที่กู้คืนได้ด้วยตนเอง รายงานไม่ได้อธิบายถึงรายการ CT สำหรับตัวกลางที่ได้รับผลกระทบ; การนำไปใช้ในทางที่ผิดกับไคลเอนต์อื่นยังไม่ทราบแน่ชัด
• รุ่นหลักตรวจสอบ certifi 2026.10.19 และ Node 24.22.1 สำหรับสาขาที่กล่าวถึง ชุด CA แบบกำหนดเองและสาขารันไทม์อื่นๆ จำเป็นต้องมีการตรวจสอบของตนเอง
• บัญชีผู้ใช้ 333 รีเลย์ของนักวิจัย Tor เกี่ยวกับเหตุการณ์เมื่อต้นเดือนตุลาคมที่เผยแพร่เมื่อวันที่ 20 ตุลาคม ประมาณสิบเปอร์เซ็นต์คือจำนวนรีเลย์ ไม่ใช่การวัดปริมาณการรับส่งข้อมูลที่ถูกดักจับ
• การหมดเวลาของเครือข่ายเพียงอย่างเดียวไม่ได้ระบุว่าการตรวจสอบใบรับรองปฏิเสธเชนที่ถูกบุกรุก รักษาการตรวจสอบและแยกแยะข้อผิดพลาดในการขนส่งจากความล้มเหลวในการตรวจสอบสิทธิ์

บทถอดเสียงที่แปลแล้ว

แปลจากการบรรยายภาษาอังกฤษต้นฉบับ เสียงและคำบรรยายที่มีให้จะควบคุมโดย YouTube

เหตุใดเบราว์เซอร์ที่แก้ไขแล้วจึงยังคงทำให้แอปเสี่ยงได้?

0:00 การแก้ไขเบราว์เซอร์ eMudhra ฟังดูเหมือนสัญญาณปลอดภัยแล้ว คีย์ลงนามที่ถูกบุกรุกแปดชุดยังคงทิ้งซอฟต์แวร์ที่มีการตัดสินใจเรื่องความน่าเชื่อถือที่ล้าสมัยไว้ ในวิดีโอนี้ ใครสามารถลงนามได้บ้าง? เหตุใดไคลเอนต์จึงไม่ตรงกัน? และการอัปเดตใดที่เข้าถึงแอปของคุณจริงๆ? การพึ่งพาขนาดเล็กหนึ่งรายการเก็บรายการความน่าเชื่อถือของตนเองไว้ เราจะกลับมาที่กระบวนการที่ตัดสินว่าการแก้ไขของคุณมาถึงแล้วหรือไม่ วันนี้วันพุธที่ 21 ตุลาคม และนี่คือ The Daily Diff

0:22 eMudhra เป็นหน่วยงานออกใบรับรอง ลงนามใบรับรองดิจิทัลที่ช่วยให้ซอฟต์แวร์ตรวจสอบเว็บไซต์และ บริการ คีย์ที่ถูกบุกรุกประกอบด้วยหกชุดที่ใช้สำหรับการเชื่อมต่อเว็บและสองชุดสำหรับการ ลงนามซอฟต์แวร์ ตัวกลางคือผู้ลงนามที่ได้รับมอบอำนาจภายใต้รูทที่เชื่อถือได้ เมื่อวันศุกร์ที่ผ่านมา นักข่าวชื่อ Wayne ได้ส่งหลักฐานไปยังโปรแกรมรูท ภายในวันอังคาร หน้าเหตุการณ์สาธารณะกำลังอธิบายการทำความสะอาด วันนี้ นักพัฒนาได้ค้นพบว่าแอปพลิเคชันที่ สมบูรณ์แบบของพวกเขาได้รวบรวมความน่าเชื่อถือไว้กี่ชุดแล้ว

คีย์ระดับกลางให้อำนาจอะไรบ้าง?

0:49 นี่คือเชนปกติ ไซต์แสดงใบรับรอง ตัวกลางลงนาม และไคลเอนต์ของคุณจะติดตามเชนไปยังรูทที่เชื่อถืออยู่แล้ว รูทคือจุดเริ่มต้นในเครื่องของคุณ ใครก็ตามที่ควบคุมคีย์ส่วนตัวของตัวกลางสามารถลงนามภายใต้อำนาจนั้นได้ ลายเซ็นที่ถูกต้องทางคณิตศาสตร์อาจมีผู้ลงนามที่ไม่น่าเชื่อถือโดยสิ้นเชิง ผู้ตรวจสอบต้องมีวิธีถอนความน่าเชื่อถือหลังจากการบุกรุก Wayne ลงนามข้อความว่า เรามีปัญหาที่นี่ Wayne

1:12 ด้วยคีย์แต่ละอัน Mozilla ตรวจสอบการควบคุมคีย์ จากนั้นกู้คืนคีย์ด้วยตนเอง การตอบสนองฉุกเฉินเริ่มต้นด้วยประโยคที่ฟังดูเหมือนมีคนสังเกตเห็นว่า เครื่องพิมพ์ในสำนักงานกำลังมีควัน

อะไรคือสิ่งที่พิสูจน์แล้ว และอะไรคือสิ่งที่ยังไม่ทราบ?

1:22 รายงานสาธารณะระบุว่าคีย์ถูกสร้างขึ้นไม่ถูกต้องและสามารถกู้คืนได้จาก ใบรับรองที่สร้างขึ้นเมื่อเดือนเมษายนปีที่แล้ว การนำไปใช้ในทางที่ผิดกับซอฟต์แวร์อื่นยังไม่ทราบแน่ชัด อำนาจการลงนามที่กู้คืนได้มีความเร่งด่วนเพียงพอโดยไม่มีรายการเหยื่อที่ถูกสร้างขึ้น มีข้อจำกัดที่สำคัญอยู่ตรงนี้ รายงานไม่พบรายการ ความโปร่งใสของใบรับรองสำหรับตัวกลางเหล่านั้น ในช่วงเวลานั้น

1:42 ระบุว่าเบราว์เซอร์ที่บังคับใช้ความโปร่งใสไม่สามารถถูกโจมตีผ่าน เส้นทางนี้ได้ การตรวจสอบเบราว์เซอร์เพิ่มเติมนี้ช่วยอธิบายว่าเหตุใดพาดหัวข่าวเพียงอย่างเดียวจึง กล่าวเกินจริงไปมาก eMudhra บอก Mozilla ว่ามีใบรับรองประมาณสามหมื่นใบที่ต้องย้ายไปยัง เชนอื่น บริการเหล่านั้นเป็นบริการที่ทำงานอยู่ซึ่งเจ้าของต้องเปลี่ยนใบรับรอง ระหว่างการทำความสะอาด ที่ไหนสักแห่ง การเชิญปฏิทินเพิ่งกลายเป็นการพึ่งพาการผลิต

เหตุใดเบราว์เซอร์และรันไทม์จึงไม่ตรงกัน?

2:03 ผู้ขายเบราว์เซอร์แจกจ่ายบัญชีดำฉุกเฉิน รายงานบันทึกการดำเนินการของ Firefox และ Chrome เมื่อวันศุกร์ ตามด้วย Apple และ Microsoft ไคลเอนต์เหล่านี้สามารถปฏิเสธตัวกลางที่ถูกบุกรุกได้ในขณะที่ยังคงรู้จัก รูทของมัน กฎนั้นแยกจากชุดแอปพลิเคชันของคุณ ไคลเอนต์บางรายตรวจสอบเชนกับรูทที่เชื่อถือได้โดยไม่ต้องใช้ข้อมูลการเพิกถอนฉุกเฉิน หน่วยงานสามารถเผยแพร่การเพิกถอนได้ และไคลเอนต์นั้นสามารถยอมรับเชนต่อไปได้

2:27 การติดป้ายที่ประตูจะดีกว่าเมื่อผู้เยี่ยมอ่านป้าย Mozilla ระบุว่าโปรไฟล์ Android บางโปรไฟล์ไม่สามารถใช้บัญชีดำที่อัปเดตแล้วเมื่อ เริ่มต้นทำงาน การแก้ไขถูกจัดส่งใน Firefox 158.02 ดังนั้นให้เบราว์เซอร์อัปเดตอยู่เสมอ ประกาศไม่สามารถจัดเก็บข้อมูลโทรศัพท์ของคุณได้ ผู้ดูแลสามารถลบ Anchor ที่เชื่อถือได้เมื่อไคลเอนต์ไม่มีการบล็อกที่แคบกว่า เธรดของ Mozilla อธิบายถึงการไม่เชื่อถือฉุกเฉินของรูท emSign ECC รุ่นที่สาม การลบรูทออกจากที่เก็บความน่าเชื่อถือจะบล็อกเชนที่พึ่งพารูทนั้น

2:54 แม้ว่าคีย์ส่วนตัวของรูทเองจะไม่เคยถูกบุกรุกก็ตาม certifi รุ่นล่าสุดของ Python คือการอัปเดตดาวน์สตรีมหนึ่งรายการ

มีการอัปเดตใดบ้างที่ถึง Python และ Node?

3:01 การคอมมิตยังคืนค่ารูท emSign ที่ไม่ได้รับผลกระทบหลังจากถูกลบก่อนหน้านี้ การลบทุกสิ่งที่เกี่ยวข้องกับชื่อบริษัทเป็นการทดแทนที่แย่สำหรับ แพ็คเกจที่ดูแล คุณต้องการให้เชนอันตรายถูกปฏิเสธและลูกค้าที่ถูกต้องตามกฎหมาย ยังคงทำงานได้ ประวัติการเผยแพร่ยังคงรักษาการตัดสินใจทั้งสองไว้ การทำความสะอาดความปลอดภัยมีงานที่น่าตื่นเต้นคือต้องเร่งด่วน แม่นยำ และถูกตำหนิสำหรับบริการใดก็ตามที่ขัดข้องระหว่างมื้อกลางวัน Node เวอร์ชัน 24.22.1 จัดส่งวันนี้พร้อมรูทที่อัปเดตแล้ว

3:26 ตรวจสอบคำแนะนำของสาขาของคุณเองและการกำหนดค่า CA ที่แท้จริง ชุดข้อมูลที่กำหนดเองสามารถเปลี่ยนที่เก็บความน่าเชื่อถือที่กระบวนการใช้ได้ ใน Tor นักวิจัยได้เผยแพร่รายงานเมื่อวานนี้เกี่ยวกับรีเลย์ทางออกที่ถูกบุกรุกจำนวนสามร้อยสามสิบ

คำเตือนคีย์โฮสต์ของ Tor ตรวจจับอะไรได้บ้าง?

3:36 สามตัว การดักจับเริ่มต้นขึ้นเมื่อต้นเดือนนี้ รีเลย์ถูกตั้งค่าสถานะและปิดตัวลงในอีกไม่กี่วันต่อมา ก่อนที่การเขียนรายงานจะมาถึง SSH เตือนนักวิจัยว่าข้อมูลประจำตัวของเซิร์ฟเวอร์เปลี่ยนไป เขารายงานเรื่องนี้ไปยังทีมสุขภาพเครือข่ายของ Tor ประกาศของผู้ดำเนินการยืนยันรายงานการดักจับ คำเตือนนั้นกำลังทำสิ่งที่ การตรวจสอบสิทธิ์ควรจะทำ ซึ่งไม่สะดวก ประมาณสิบเปอร์เซ็นต์นับรีเลย์ที่มีความจุต่างกัน

3:57 โดยไม่ได้วัดส่วนแบ่งการรับส่งข้อมูล การกำหนดเส้นทาง Tor และข้อมูลประจำตัวเซิร์ฟเวอร์ SSH มีหน้าที่แยกกัน ตรวจสอบคีย์โฮสต์ที่เปลี่ยนไปผ่าน ช่องทางที่เชื่อถือได้ก่อนที่คุณจะยอมรับและเข้าสู่ระบบ กลับไปที่แอปของคุณ เริ่มต้นด้วยคอนเทนเนอร์ที่กำลังทำงานอยู่หรือสภาพแวดล้อมเสมือน ค้นหาชุด CA ที่ใช้งานจริงและใช้การอัปเดตที่ดูแลที่เกี่ยวข้อง

คุณจะตรวจสอบการแก้ไขที่ใช้งานได้อย่างไร?

4:12 สร้างใหม่และรีสตาร์ทกระบวนการที่ติดตั้งใช้งานเพื่อให้สามารถโหลดวัสดุที่เชื่อถือได้ที่เปลี่ยนแปลงไป ใช้เชนทดสอบสาธารณะของผู้ดูแลในสภาพแวดล้อมจริงของไคลเอนต์ แยกข้อผิดพลาดของใบรับรองออกจากเวลาหมดของเครือข่าย การเชื่อมต่อล้มเหลวบน Wi-Fi ของโรงแรมเป็นการทดสอบที่ยอดเยี่ยมของ Wi-Fi ของโรงแรม การพึ่งพาขนาดเล็กคือที่เก็บความน่าเชื่อถือที่รวมกันแยกต่างหาก เช่น certifi เบราว์เซอร์เดสก์ท็อปของคุณไม่เคยแก้ไขการพึ่งพานั้นภายในคอนเทนเนอร์เก่า กระบวนการที่ติดตั้งใช้งานและการกำหนดค่าตัดสินใจว่าการแก้ไขมาถึงแล้วหรือไม่ นั่นคือที่ที่จะตรวจสอบการอัปเดตของคุณ

4:42 หากคุณต้องการอ่านเรื่องนี้มากกว่าฟังฉันพูด The Daily Diff จะส่งไปยังกล่องจดหมายของคุณ ทุกเช้า ฟรีที่ thedailydiff.dev ลิงก์ด้านล่าง ดังนั้นคำตัดสินของวันนี้คือ NEEDS REVIEW

อะไรคือสิ่งที่ได้รับตรา NEEDS REVIEW?

4:51 ฉันต้องการให้ความน่าเชื่อถือของไคลเอนต์ที่ติดตั้งใช้งานถูกตรวจสอบก่อนที่ใครจะปิดเหตุการณ์นี้ สมัครสมาชิก กดกระดิ่ง และบอกฉันในความคิดเห็นหากคุณจะประทับตรา แตกต่างออกไป และนั่นคือความแตกต่างสำหรับวันนี้ ฉันชื่อ Niko จาก Axrisi รวมอย่างมีความรับผิดชอบ รวมอย่างมีความรับผิดชอบ

แหล่งที่มา

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health