eMudhra ara CA uzlaşması: tarayıcı kara listeleri ve çalışma zamanı güven boşluğu

Bu video neleri kapsar

• Ele geçirilen anahtarlar ara imzalayıcılara aittir. Kök özel anahtarının ele geçirildiğini kanıtlamadan kök güvensizliği bir zinciri hafifletebilir.
• Bir tarayıcının acil kara listesi ve bir uygulamanın paketlenmiş CA deposu ayrı güncelleme yollarını takip edebilir. Çalışan süreci ve gerçek güven yapılandırmasını kontrol edin.
• Mozilla, kurtarılabilir özel anahtarları bağımsız olarak doğruladı. Rapor, etkilenen aracılar için CT girdileri olmadığını belirtiyor; diğer istemcilere karşı fiili kötüye kullanım hala bilinmiyor.
• Birincil sürümler, tartışılan dallar için certifi 2026.10.19 ve Node 24.22.1'i doğrular. Özel CA paketleri ve diğer çalışma zamanı dalları kendi kontrollerini gerektirir.
• Tor araştırmacısının 333 röleli hesabı, 20 Ekim'de yayınlanan Ekim ayının başlarındaki bir olayla ilgilidir. Yaklaşık yüzde on, bir röle sayısıdır, ele geçirilen trafik ölçümü değildir.
• Yalnızca bir ağ zaman aşımı, sertifika doğrulamasının tehlikeye atılmış bir zinciri reddettiğini kanıtlamaz. Doğrulamayı koruyun ve aktarım hatalarını kimlik doğrulama hatalarından ayırın.

Çevrilmiş deşifre

Orijinal İngilizce anlatımdan çevrilmiştir. Mevcut ses ve altyazılar YouTube tarafından kontrol edilir.

Sabit bir tarayıcı neden bir uygulamayı savunmasız bırakabilir?

0:00 eMudhra tarayıcı düzeltmesi tamamen temizlendi gibi geliyor. Ele geçirilen sekiz imzalama anahtarı, yazılımı hala güncel olmayan güven kararlarıyla bırakıyor. Bu videoda kim imzalayabilir? Müşteriler neden anlaşamıyor? Ve hangi güncelleme uygulamanıza gerçekten ulaşıyor? Küçük bir bağımlılık kendi güven listesini tutar. Düzeltmenizin gelip gelmediğine karar veren sürece geri döneceğiz. Çarşamba, yirmi bir Ekim ve bu The Daily Diff.

0:22 eMudhra bir sertifika yetkilisidir. Yazılımların web sitelerini ve hizmetleri doğrulamasına yardımcı olan dijital sertifikaları imzalar. Ele geçirilen anahtarlar, web bağlantıları için kullanılan altı ve yazılım imzalama için kullanılan iki taneyi içerir. Ara, güvenilir bir kökün altında devredilmiş bir imzalayıcıdır. Cuma günü, Wayne adlı bir muhabir kök programlarına kanıt gönderdi. Salı gününe kadar, halka açık olay sayfası temizliği açıklıyordu. Bugün, geliştiriciler, mükemmel normal uygulamalarının kaç kopya güven topladığını keşfedebilir. İşte sıradan zincir.

Ara bir anahtar neyi yetkilendirir?

0:49 Bir site bir sertifika sunar, bir ara imzalar, ve istemciniz zinciri zaten güvendiği bir köke kadar takip eder. Kök, yerel başlangıç noktanızdır. Ara'nın özel anahtarını kontrol eden herkes o yetki altında imzalayabilir. Matematiksel olarak geçerli bir imzanın tamamen güvenilmez bir imzalayıcısı olabilir. Doğrulayıcının, bir uzlaşmadan sonra güveni geri çekmenin bir yoluna ihtiyacı vardır. Wayne mesajı imzaladı, Burada bir sorunumuz var, Wayne, her anahtarla.

1:12 Mozilla anahtar kontrolünü doğruladı, ardından anahtarları bağımsız olarak kurtardı. Acil durum müdahalesi, birisinin ofis yazıcısının duman çıkardığını fark ettiği gibi gelen bir cümleyle başladı. Halka açık rapor, anahtarların yanlış üretildiğini ve geçen yıl Nisan ayında oluşturulan sertifikalardan kurtarılabilir olduğunu söylüyor. Diğer yazılımlara karşı fiili kötüye kullanım hala bilinmiyor.

Ne kanıtlandı ve ne bilinmiyor?

1:22 Kurtarılabilir imzalama yetkisi, icat edilmiş bir mağdur listesi olmadan yeterince acil. Burada önemli bir sınır var. Rapor, o dönemde bu aracılar için sertifika şeffaflığı girdisi bulamadı. Şeffaflığı zorunlu kılan tarayıcıların bu yol aracılığıyla saldırıya uğrayamayacağını söylüyor. Bu ek tarayıcı kontrolü, yalnızca başlığın neden resmi abarttığını açıklıyor. eMudhra, Mozilla'ya yaklaşık otuz bin sertifikanın başka bir zincire taşınması gerektiğini söyledi. Bunlar, sahipleri temizlik sırasında sertifikaları değiştirmesi gereken çalışan hizmetlerdir. Bir yerde, bir takvim daveti bir üretim bağımlılığı haline geldi. Tarayıcı satıcıları acil kara listeleri dağıtır.

1:42 Rapor, Cuma günü Firefox ve Chrome eylemini, ardından Apple ve Microsoft'u kaydediyor. Bu istemciler, ele geçirilen ara'yı kökünü tanırken reddedebilirler. Bu kural, uygulamanızın paketinden ayrı olarak ilerler. Bazı istemciler, acil iptal bilgilerini tüketmeden güvenilir köklere karşı bir zinciri kontrol eder. Yetkili bir iptal yayınlayabilir, ve o istemci zinciri kabul etmeye devam edebilir. Kapıya bir işaret asmak, ziyaretçi işaretleri okuduğunda daha iyi çalışır. Mozilla, bazı Android profillerinin başlangıçta güncellenmiş kara listeyi uygulamadığını söylüyor. Firefox yüz elli sekiz nokta sıfır ikide bir düzeltme gönderildi. Bu yüzden tarayıcıyı da güncel tutun.

Tarayıcı ve çalışma zamanı neden anlaşamıyor?

2:03 Duyuru telefonunuzu envantere alamaz. Bakımcılar, istemcilerin daha dar engellemeleri olmadığında bir güven çapasını kaldırabilirler. Mozilla'nın başlığı, emSign ECC kökünün acil güvensizliğini, üçüncü nesilini açıklıyor. Bir kökü bir güven deposundan kaldırmak, kökün özel anahtarı asla ele geçirilmemiş olsa bile ona dayanan zincirleri engeller. Python'un en son certifi sürümü bir sonraki güncellemedir. Taahhüdü, önceki bir kaldırımdan sonra etkilenmeyen emSign köklerini de geri yükler. Şirket adını taşıyan her şeyi silmek, bakımı yapılan paketin kötü bir alternatifi değildir. Tehlikeli zincirin reddedilmesini ve meşru müşterilerin hala çalışmasını istersiniz. Yayın geçmişi her iki kararı da korur.

2:27 Güvenlik temizliği, acil, hassas ve öğle yemeği sırasında bozulan herhangi bir hizmetten sorumlu olma gibi göz alıcı bir işe sahiptir. Node'un yirmi dört nokta yirmi iki nokta bir sürümü bugün güncellenmiş köklerle gönderildi. Kendi dalınızın duyurusunu ve gerçek CA yapılandırmasını kontrol edin. Özel bir paket, sürecin hangi güven deposunu kullandığını değiştirebilir. Tor'da, bir araştırmacı dün üç yüz otuz üç ele geçirilmiş çıkış rölesi hakkında bir rapor yayınladı. Kesme bu ayın başlarında başladı. Röleler işaretlendi ve günler sonra, yazılı rapor gelmeden kapatıldı. SSH araştırmacıyı sunucunun kimliğinin değiştiği konusunda uyardı.

2:54 Bunu Tor'un ağ sağlığı ekibine bildirdi. Operatör bildirimleri, kesme raporlarını doğruluyor.

Hangi güncellemeler Python ve Node'a ulaştı?

3:01 Bu uyarı tam da kimlik doğrulamanın yapması gereken uygunsuz şeyi yapıyordu. Yaklaşık yüzde on, farklı kapasitelerde röleleri saydı, trafik payını ölçülmeden bıraktı. Tor yönlendirmesi ve SSH sunucu kimliği ayrı işlere sahiptir. Kabul etmeden ve oturum açmadan önce değiştirilmiş bir ana bilgisayar anahtarını güvenilir bir kanal aracılığıyla doğrulayın. Uygulamanızda, çalışan kapsayıcı veya sanal ortamla başlayın. Gerçekten kullandığı CA paketini bulun ve ilgili bakımı yapılan güncellemeyi uygulayın. Dağıtılan süreci yeniden oluşturun ve yeniden başlatın, böylece değişen güven materyalini yükleyebilir. İstemcinin gerçek ortamında bakımcıların genel test zincirlerini kullanın.

3:26 Sertifika hatasını bir ağ zaman aşımından ayırın. Otel Wi-Fi'de başarısız bir bağlantı, otel Wi-Fi'nin mükemmel bir testidir. Küçük bağımlılık, certifi gibi ayrı olarak paketlenmiş bir güven deposudur.

Tor ana bilgisayar anahtarı uyarısı neyi yakaladı?

3:36 Masaüstü tarayıcınız asla eski bir kapsayıcının içindeki bu bağımlılığı düzenlemez. Dağıtılan süreç ve yapılandırması, düzeltmenin gelip gelmediğine karar verir. Güncellemenizi doğrulayacağınız yer burasıdır. Bunu benden duymak yerine okumak isterseniz, diff her sabah gelen kutunuza ücretsiz olarak the daily diff dot dev adresinde, aşağıdaki bağlantıda gelir. Bugünün kararı bu yüzden NEEDS REVIEW. Herhangi biri bu olayı kapatmadan önce dağıtılan istemcinin güveninin kontrol edilmesini istiyorum. Abone olun, zili çalın ve farklı bir şekilde damgalayıp damgalamayacağınızı yorumlarda bana bildirin. Ve bugünün farkı bu kadar.

3:57 Ben Axrisi'den Niko. Sorumlu bir şekilde birleştirin. Bu yüzden bu The Daily Diff, bugün için. Çarşamba, yirmi bir Ekim. Ben Axrisi'den Niko. Sorumlu bir şekilde birleştirin.

Dağıtılan düzeltmeyi nasıl kontrol edersiniz?

4:12 Tarayıcı düzeltmesi, tümüyle temizlenmiş gibi geliyor, Ancak sekiz ele geçirilmiş imzalama anahtarı, yazılımı hala eski güven kararlarıyla bırakıyor. Bu videoda kim imzalayabilir? Müşteriler neden anlaşamıyor? Ve hangi güncelleme uygulamanıza gerçekten ulaşıyor? Küçük bir bağımlılık kendi güven listesini tutar. Düzeltmenizin gelip gelmediğine karar veren sürece geri döneceğiz. eMudhra, web sitelerini ve hizmetleri doğrulayan dijital sertifikaları imzalayan bir sertifika yetkilisidir. Ele geçirilen anahtarlar, web bağlantıları için kullanılan altı ve yazılım imzalama için kullanılan iki taneyi içerir.

4:42 Ara, güvenilir bir kökün altında devredilmiş bir imzalayıcıdır. Wayne, kök programlarına kanıt gönderdi. Halka açık olay sayfası temizliği açıklıyordu.

NEEDS REVIEW mührünü ne alır?

4:51 Bugün, geliştiriciler, uygulamalarının kaç kopya güven topladığını keşfederler. İşte sıradan zincir. Bir site bir sertifika sunar, bir ara imzalar, ve istemciniz zinciri zaten güvendiği bir köke kadar takip eder. Kök, yerel başlangıç noktanızdır. Ara'nın özel anahtarını kontrol eden herkes o yetki altında imzalayabilir. Matematiksel olarak geçerli bir imzanın tamamen güvenilmez bir imzalayıcısı olabilir.

Kaynaklar

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health