eMudhra انٹرمیڈیٹ CA سمجھوتہ: براؤزر بلاک لسٹس اور رن ٹائم ٹرسٹ گیپ

اس ویڈیو میں کیا شامل ہے

• سمجھوتہ شدہ کیز انٹرمیڈیٹ دستخط کنندگان سے تعلق رکھتی ہیں۔ روٹ کی عدم اعتماد ایک چین کو کم کر سکتی ہے بغیر یہ ثابت کیے کہ روٹ پرائیویٹ کی سے سمجھوتہ کیا گیا تھا۔
• ایک براؤزر کی ایمرجنسی بلاک لسٹ اور ایک ایپلیکیشن کا بنڈل شدہ CA اسٹور الگ الگ اپ ڈیٹ کے راستوں پر چل سکتے ہیں۔ چلنے والے عمل اور اس کی اصل ٹرسٹ کنفیگریشن کو چیک کریں۔
• موزیلا نے آزادانہ طور پر بازیافت شدہ پرائیویٹ کیز کی تصدیق کی۔ رپورٹ میں متاثرہ انٹرمیڈیٹس کے لیے کوئی CT اندراجات بیان نہیں کیے گئے؛ دوسرے کلائنٹس کے خلاف اصل غلط استعمال نامعلوم ہے۔
• بنیادی ریلیز certifi 2026.10.19 اور Node 24.22.1 کی تصدیق کرتی ہیں جن شاخوں پر بحث کی گئی ہے۔ اپنی مرضی کے مطابق CA بنڈلز اور دیگر رن ٹائم شاخوں کو اپنی جانچ پڑتال کی ضرورت ہے۔
• ٹور محقق کا 333-ریلے اکاؤنٹ اکتوبر کے اوائل کے ایک واقعے سے متعلق ہے جو 20 اکتوبر کو شائع ہوا تھا۔ تقریباً دس فیصد ریلے کی تعداد ہے، روکے گئے ٹریفک کی پیمائش نہیں۔
• صرف ایک نیٹ ورک ٹائم آؤٹ یہ ثابت نہیں کرتا کہ سرٹیفکیٹ کی توثیق نے سمجھوتہ شدہ چین کو مسترد کر دیا۔ تصدیق کو محفوظ رکھیں اور ٹرانسپورٹ کی غلطیوں کو توثیق کی ناکامیوں سے ممتاز کریں۔

ترجمہ شدہ ٹرانسکرپٹ

اصل انگریزی بیان سے ترجمہ کیا گیا۔ دستیاب آڈیو اور کیپشنز یوٹیوب کے زیر انتظام ہیں۔

ایک فکسڈ براؤزر کسی ایپ کو کیوں بے نقاب چھوڑ سکتا ہے؟

0:00 eMudhra براؤزر کا فکس ایک آل-کلیئر کی طرح لگتا ہے۔ آٹھ سمجھوتہ شدہ دستخطی کیز اب بھی سافٹ ویئر کو پرانی ٹرسٹ کے فیصلوں کے ساتھ چھوڑ دیتی ہیں۔ اس ویڈیو میں، کون دستخط کر سکتا ہے؟ کلائنٹس کیوں متفق نہیں ہیں؟ اور کون سا اپ ڈیٹ اصل میں آپ کی ایپ تک پہنچتا ہے؟ ایک چھوٹی سی ڈیپینڈنسی اپنی ٹرسٹ لسٹ رکھتی ہے۔ ہم اس عمل پر واپس آئیں گے جو فیصلہ کرتا ہے کہ آپ کا فکس آیا یا نہیں۔ بدھ، اکیس اکتوبر ہے، اور یہ The Daily Diff ہے۔

0:22 eMudhra ایک سرٹیفکیٹ اتھارٹی ہے۔ یہ ڈیجیٹل سرٹیفکیٹس پر دستخط کرتا ہے جو سافٹ ویئر کو ویب سائٹس اور خدمات کی توثیق کرنے میں مدد کرتے ہیں۔ سمجھوتہ شدہ کیز میں چھ ویب کنکشنز کے لیے استعمال ہونے والی اور دو سافٹ ویئر پر دستخط کرنے کے لیے استعمال ہونے والی شامل ہیں۔ ایک انٹرمیڈیٹ ایک قابل اعتماد روٹ کے نیچے ایک تفویض شدہ دستخط کنندہ ہوتا ہے۔ جمعہ کو، ایک رپورٹر جس کا نام وین تھا، نے روٹ پروگرامز کو ثبوت بھیجا۔ منگل تک، عوامی واقعے کا صفحہ صفائی کی وضاحت کر رہا تھا۔ آج، ڈویلپرز کو یہ معلوم کرنا ہے کہ ان کی بالکل عام ایپلیکیشن نے ٹرسٹ کی کتنی کاپیاں جمع کی ہیں۔

ایک انٹرمیڈیٹ کی کیا اجازت دیتا ہے؟

0:49 یہ ہے عام چین۔ ایک سائٹ ایک سرٹیفکیٹ پیش کرتی ہے، ایک انٹرمیڈیٹ اس پر دستخط کرتا ہے، اور آپ کا کلائنٹ اس چین کو ایک روٹ تک پہنچاتا ہے جس پر وہ پہلے ہی بھروسہ کرتا ہے۔ روٹ آپ کا مقامی نقطہ آغاز ہے۔ جو بھی انٹرمیڈیٹ کی پرائیویٹ کی کو کنٹرول کرتا ہے وہ اس اتھارٹی کے تحت دستخط کر سکتا ہے۔ ایک ریاضیاتی طور پر درست دستخط مکمل طور پر ناقابل اعتماد دستخط کنندہ کا ہو سکتا ہے۔ تصدیق کنندہ کو سمجھوتے کے بعد اعتماد واپس لینے کا ایک طریقہ درکار ہے۔ وین نے پیغام پر دستخط کیا، ہمارے پاس یہاں ایک مسئلہ ہے، وین،

1:12 ہر کی کے ساتھ۔ موزیلا نے کی کنٹرول کی تصدیق کی، پھر آزادانہ طور پر کیز کو بازیافت کیا۔ ایمرجنسی ردعمل اس جملے سے شروع ہوا جو ایسا لگتا ہے جیسے کسی نے نوٹس کیا کہ آفس کا پرنٹر دھواں دے رہا تھا۔

کیا ثابت ہو چکا ہے، اور کیا نامعلوم ہے؟

1:22 عوامی رپورٹ میں کہا گیا ہے کہ کیز غلط طریقے سے بنائی گئی تھیں اور پچھلے سال اپریل میں بنائے گئے سرٹیفکیٹس سے بازیافت کی جا سکتی تھیں۔ دوسرے سافٹ ویئر کے خلاف اصل غلط استعمال اب بھی نامعلوم ہے۔ قابل بازیافت دستخطی اتھارٹی ایجاد شدہ متاثرین کی فہرست کے بغیر بھی کافی اہم ہے۔ یہاں ایک اہم حد ہے۔ رپورٹ میں کوئی سرٹیفکیٹ انٹرمیڈیٹس کے لیے شفافیت کے اندراجات نہیں ملے اس مدت کے دوران۔

1:42 اس میں کہا گیا ہے کہ شفافیت کو نافذ کرنے والے براؤزرز پر اس راستے سے حملہ نہیں کیا جا سکتا تھا۔ یہ اضافی براؤزر چیک یہ سمجھانے میں مدد کرتا ہے کہ اکیلے ہیڈ لائن اس تصویر کو کیوں مبالغہ آرائی کرتی ہے۔ eMudhra نے موزیلا کو بتایا کہ تقریباً تیس ہزار سرٹیفکیٹس کو ایک اور چین میں منتقل کرنے کی ضرورت ہے۔ یہ وہ سروسز ہیں جن کے مالکان کو صفائی کے دوران سرٹیفکیٹس کو تبدیل کرنا ہوگا۔ کہیں، ایک کیلنڈر انوائٹ ابھی ایک پروڈکشن ڈیپینڈنسی بن گیا ہے۔

براؤزر اور رن ٹائم کیوں متفق نہیں ہیں؟

2:03 براؤزر وینڈرز ایمرجنسی بلاک لسٹیں تقسیم کرتے ہیں۔ رپورٹ میں جمعہ کو فائر فاکس اور کروم کی کارروائی کا ذکر ہے، اس کے بعد ایپل اور مائیکروسافٹ۔ یہ کلائنٹس سمجھوتہ شدہ انٹرمیڈیٹ کو مسترد کر سکتے ہیں جبکہ اس کے روٹ کو پہچانتے ہیں۔ یہ اصول آپ کی ایپلیکیشن کے بنڈل سے الگ سفر کرتا ہے۔ کچھ کلائنٹس ایمرجنسی منسوخی کی معلومات استعمال کیے بغیر ایک چین کو قابل اعتماد روٹس کے خلاف چیک کرتے ہیں۔ اتھارٹی ایک منسوخی شائع کر سکتی ہے، اور وہ کلائنٹ چین کو قبول کرنا جاری رکھ سکتا ہے۔

2:27 دروازے پر نشان لگانا تب زیادہ بہتر کام کرتا ہے جب دیکھنے والا نشانات پڑھے۔ موزیلا کا کہنا ہے کہ کچھ اینڈرائیڈ پروفائلز اسٹارٹ اپ پر اپ ڈیٹ شدہ بلاک لسٹ کو لاگو کرنے میں ناکام رہے۔ فائر فاکس 158.02 میں ایک فکس بھیجا گیا۔ لہذا براؤزر کو بھی تازہ ترین رکھیں۔ اعلان آپ کے فون کی انوینٹری نہیں کر سکتا۔ مینٹینرز ایک ٹرسٹ اینکر کو ہٹا سکتے ہیں جب کلائنٹس کے پاس تنگ تر بلاکنگ کی کمی ہو۔ موزیلا کی تھریڈ میں emSign ECC روٹ کی ایمرجنسی عدم اعتماد کو بیان کیا گیا ہے، جنریشن تھری۔ ٹرسٹ اسٹور سے ایک روٹ کو ہٹانا ان چینز کو بلاک کرتا ہے جو اس پر

2:54 انحصار کرتی ہیں، یہاں تک کہ جب روٹ کی پرائیویٹ کی خود کبھی سمجھوتہ نہیں کی گئی تھی۔ پائتھن کی تازہ ترین certifi ریلیز ایک ڈاؤن اسٹریم اپ ڈیٹ ہے۔

کون سی اپ ڈیٹس پائتھن اور نوڈ تک پہنچی ہیں؟

3:01 اس کی کمیٹ پہلے ہٹانے کے بعد غیر متاثرہ emSign روٹس کو بھی بحال کرتی ہے۔ کمپنی کے نام والی ہر چیز کو حذف کرنا مینٹینڈ پیکج کا ایک ناقص متبادل ہے۔ آپ چاہتے ہیں کہ خطرناک چین کو مسترد کر دیا جائے اور جائز صارفین اب بھی کام کر رہے ہوں۔ ریلیز ہسٹری دونوں فیصلوں کو محفوظ رکھتی ہے۔ سیکیورٹی صفائی کا شاندار کام یہ ہے کہ وہ فوری ہو، درست ہو، اور دوپہر کے کھانے کے دوران جو بھی سروس ٹوٹے اس کا الزام اس پر لگایا جائے۔ نوڈ کا ورژن 24.22.1 آج اپ ڈیٹ شدہ

3:26 روٹس کے ساتھ بھیجا گیا۔ اپنی شاخ کی ایڈوائزری اور اصل CA کنفیگریشن کو چیک کریں۔ ایک کسٹم بنڈل یہ تبدیل کر سکتا ہے کہ کون سا ٹرسٹ اسٹور عمل استعمال کرتا ہے۔ ٹور میں، ایک محقق نے کل تین سو تینتیس

ٹور ہوسٹ-کی وارننگ نے کیا پکڑا؟

3:36 سمجھوتہ شدہ ایگزٹ ریلیز کا ایک اکاؤنٹ شائع کیا۔ اعتراض اس ماہ کے شروع میں شروع ہوا۔ ریلیز کو چند دن بعد جھنڈا لگا کر بند کر دیا گیا، اس سے پہلے کہ تحریر پہنچے۔ SSH نے محقق کو خبردار کیا کہ سرور کی شناخت تبدیل ہو گئی ہے۔ اس نے اسے ٹور کی نیٹ ورک ہیلتھ ٹیم کو رپورٹ کیا۔ ان کا آپریٹر نوٹس اعتراض کی رپورٹس کی تصدیق کرتا ہے۔ وہ وارننگ بالکل وہی غیر آرام دہ کام کر رہی تھی جو توثیق کو

3:57 کرنا چاہیے تھا۔ تقریباً دس فیصد مختلف صلاحیتوں والی ریلیز کو شمار کیا گیا، ٹریفک کے حصے کو غیر ماپا چھوڑ کر۔ ٹور روٹنگ اور SSH سرور کی شناخت کے الگ الگ کام ہیں۔ ایک تبدیل شدہ ہوسٹ کی کو ایک قابل اعتماد چینل کے ذریعے تصدیق کریں اس سے پہلے کہ آپ اسے قبول کریں اور لاگ ان کریں۔ اپنی ایپ میں واپس، چلنے والے کنٹینر یا ورچوئل ماحول سے شروع کریں۔

تعینات فکس کو کیسے چیک کریں؟

4:12 اس CA بنڈل کو تلاش کریں جو وہ اصل میں استعمال کرتا ہے اور متعلقہ برقرار اپ ڈیٹ لاگو کریں۔ تعینات شدہ عمل کو دوبارہ بنائیں اور دوبارہ شروع کریں تاکہ وہ تبدیل شدہ ٹرسٹ مواد لوڈ کر سکے۔ کلائنٹ کے حقیقی ماحول میں مینٹینرز کی عوامی ٹیسٹ چینز کا استعمال کریں۔ سرٹیفکیٹ کی خرابی کو نیٹ ورک ٹائم آؤٹ سے الگ رکھیں۔ ہوٹل وائی فائی پر ایک ناکام کنکشن ہوٹل وائی فائی کا ایک بہترین ٹیسٹ ہے۔ چھوٹی ڈیپینڈنسی ایک علیحدہ بنڈل شدہ ٹرسٹ اسٹور ہے، جیسے certifi۔ آپ کا ڈیسک ٹاپ براؤزر کبھی بھی کسی پرانے کنٹینر کے اندر اس ڈیپینڈنسی میں ترمیم نہیں کرتا۔ تعینات شدہ عمل اور اس کی کنفیگریشن فیصلہ کرتی ہے کہ فکس

4:42 آیا یا نہیں۔ یہ آپ کے اپ ڈیٹ کی تصدیق کرنے کی جگہ ہے۔ اگر آپ اسے سننے کے بجائے پڑھنا چاہتے ہیں، تو ڈیف ہر صبح آپ کے ان باکس میں آتا ہے، daily diff dot dev پر مفت، لنک نیچے دیا گیا ہے۔

NEEDS REVIEW کا اسٹیمپ کس کو ملتا ہے؟

4:51 تو آج کا فیصلہ NEEDS REVIEW ہے۔ میں چاہتا ہوں کہ تعینات کلائنٹ کے اعتماد کی جانچ کی جائے اس سے پہلے کہ کوئی اس واقعے کو بند کرے۔ سبسکرائب کریں، بیل آئیکن کو دبائیں، اور تبصروں میں بتائیں کہ کیا آپ اسے مختلف طریقے سے اسٹیمپ کرتے۔ اور یہ آج کا ڈیف ہے۔ میں نیکو ہوں Axrisi سے۔ ذمہ داری سے ضم کریں۔

ذرائع

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health