eMudhra oraliq CA kompromisi: brauzer bloklash roʻyxatlari va ish vaqtidagi ishonchdagi boʻshliq

Bu video nimani qamrab oladi

• Buzilgan kalitlar oraliq imzolovchilarga tegishli. Asosiy ishonchsizlik asosiy maxfiy kalitning buzilganligini isbotlamasdan zanjirni yumshatishi mumkin.
• Brauzerning favqulodda bloklash roʻyxati va ilovaning toʻplangan CA doʻkoni alohida yangilanish yoʻllarini kuzatishi mumkin. Ishlayotgan jarayonni va uning haqiqiy ishonch konfiguratsiyasini tekshiring.
• Mozilla mustaqil ravishda tiklanishi mumkin boʻlgan maxfiy kalitlarni tasdiqladi. Hisobotda ta'sirlangan oraliqlar uchun CT yozuvlari tasvirlanmagan; boshqa mijozlarga nisbatan haqiqiy suiiste'mol noma'lumligicha qolmoqda.
• Asosiy relizlar muhokama qilingan tarmoqlar uchun certifi 2026.10.19 va Node 24.22.1 ni tekshiradi. Maxsus CA toʻplamlari va boshqa ish vaqti tarmoqlari oʻz tekshiruvlariga muhtoj.
• Tor tadqiqotchisining 333-releli hisobi oktyabr oyining boshida sodir boʻlgan va 20-oktyabrda nashr etilgan voqeaga tegishli. Taxminan oʻn foiz bu trafikni ushlab qolish oʻlchovi emas, balki reley soni.
• Faqatgina tarmoqning vaqt tugashi buzilgan zanjirni sertifikat tekshiruvi rad etganligini isbotlamaydi. Tekshiruvni saqlang va transport xatolarini autentifikatsiya xatolaridan ajrating.

Tarjima qilingan transkript

Asl inglizcha hikoyadan tarjima qilingan. Mavjud audio va subtitrlar YouTube tomonidan boshqariladi.

Nima uchun oʻrnatilgan brauzer ilovani himoyasiz qoldirishi mumkin?

0:00 eMudhra brauzer tuzatishi hamma narsa joyida ekanligini anglatadi. Sakkizta buzilgan imzolash kaliti hali ham dasturiy ta'minotni eskirgan ishonch qarorlari bilan qoldiradi. Ushbu videoda kim imzolay oladi? Nima uchun mijozlar kelishmaydi? Va qaysi yangilanish aslida ilovangizga yetib boradi? Bitta kichik bogʻliqlik oʻz ishonch roʻyxatini saqlaydi. Biz tuzatish kelganligini hal qiladigan jarayonga qaytamiz. Bugun, chorshanba, yigirma birinchi oktyabr va bu The Daily Diff.

0:22 eMudhra sertifikat markazi hisoblanadi. U dasturiy ta'minotga veb-saytlar va xizmatlarni autentifikatsiya qilishda yordam beradigan raqamli sertifikatlarni imzolaydi. Buzilgan kalitlarga oltitasi veb-ulanishlar uchun va ikkitasi dasturiy ta'minotni imzolash uchun ishlatilgan. Oraliq ishonchli ildiz ostidagi delegat imzolovchi hisoblanadi. Juma kuni Ueyn ismli muxbir ildiz dasturlariga dalil yubordi. Seshanba kuni ommaviy hodisa sahifasi tozalashni tushuntirayotgan edi. Bugun ishlab chiquvchilar oʻzlarining mukammal normal ilovasi qancha ishonch nusxalarini toʻplaganini bilib olishadi. Bu yerda oddiy zanjir.

Oraliq kalit nimani avtorizatsiya qiladi?

0:49 Sayt sertifikatni taqdim etadi, oraliq uni imzolaydi, va mijoz zanjirni oʻzi ishonadigan ildizga qadar kuzatadi. Ildiz sizning mahalliy boshlangʻich nuqtangizdir. Oraliqning maxfiy kalitini kim boshqarsa, oʻsha organ ostida imzolay oladi. Matematik jihatdan haqiqiy imzo butunlay ishonchsiz imzolovchiga ega boʻlishi mumkin. Tekshiruvchi buzilishdan keyin ishonchni qaytarib olish usuliga muhtoj. Ueyn xabarni imzoladi: "Bu yerda muammo bor, Ueyn", har bir kalit bilan.

1:12 Mozilla kalit nazoratini tekshirdi, soʻngra mustaqil ravishda kalitlarni tikladi. Favqulodda vaziyatga javob kimdir ofis printeri tutun chiqarayotganini sezgan kabi eshitiladigan gap bilan boshlandi. Ommaviy hisobotda aytilishicha, kalitlar notoʻgʻri yaratilgan va oʻtgan yil aprel oyida yaratilgan sertifikatlardan tiklanishi mumkin. Boshqa dasturiy ta'minotga nisbatan haqiqiy suiiste'mol hali ham noma'lum.

Nima isbotlangan va nima nomaʼlumligicha qolmoqda?

1:22 Tiklanadigan imzolash huquqi ixtiro qilingan qurbonlar roʻyxatisiz ham yetarlicha shoshilinchdir. Bu yerda muhim cheklov bor. Hisobotda oʻsha oraliqlar uchun sertifikat shaffofligi yozuvlari topilmadi oʻsha davr mobaynida. U shaffoflikni qoʻllaydigan brauzerlar ushbu yoʻl orqali hujumga uchramasligi mumkin edi, deydi. Bu qoʻshimcha brauzer tekshiruvi sarlavha yolgʻiz rasmni qanday boʻrttirib koʻrsatishini tushuntirishga yordam beradi. eMudhra Mozillaga oʻttiz mingga yaqin sertifikatni boshqa zanjirga koʻchirish kerakligini aytdi. Bular tozalash paytida egalari sertifikatlarni almashtirishi kerak boʻlgan ishlayotgan xizmatlardir.

1:42 Qayerdadir, taqvimga taklifnoma ishlab chiqarishga bogʻliqlik boʻlib qoldi. Brauzer sotuvchilari favqulodda bloklash roʻyxatlarini tarqatishadi. Hisobotda juma kuni Firefox va Chrome harakatlari, soʻngra Apple va Microsoft harakatlari qayd etilgan. Ushbu mijozlar buzilgan oraliqni oʻz ildizini tan olgan holda rad etishlari mumkin. Bu qoida ilovangiz toʻplamidan alohida yoʻl tutadi. Ba'zi mijozlar favqulodda bekor qilish ma'lumotlarini iste'mol qilmasdan zanjirni ishonchli ildizlarga qarshi tekshirishadi. Organ bekor qilishni e'lon qilishi mumkin,

Nima uchun brauzer va ish vaqti kelishmaydi?

2:03 va bu mijoz zanjirni qabul qilishni davom ettirishi mumkin. Eshikka belgi qoʻyish tashrifchi belgilarni oʻqiganida yaxshiroq ishlaydi. Mozilla ba'zi Android profillari ishga tushirishda yangilangan bloklash roʻyxatini qoʻllay olmaganini aytadi. Firefox bir yuz ellik sakkiz nuqta nol ikkida tuzatish yuborildi. Shuning uchun brauzerni ham yangilab turing. E'lon telefoningizni inventarizatsiya qila olmaydi. Xizmat koʻrsatuvchilar mijozlarda torroq bloklash imkoniyati boʻlmaganda ishonch langarini olib tashlashlari mumkin. Mozillaning mavzusi emSign ECC ildizining favqulodda ishonchsizligini tasvirlaydi,

2:27 uchinchi avlod. Ishonch doʻkonidan ildizni olib tashlash unga tayanadigan zanjirlarni bloklaydi, hatto ildizning maxfiy kaliti hech qachon buzilmagan boʻlsa ham. Pythonning oxirgi certifi nashri bir keyingi yangilanishdir. Uning komiti avvalgi olib tashlashdan keyin ta'sir qilmagan emSign ildizlarini ham tiklaydi. Kompaniyaning nomini olgan hamma narsani oʻchirish, qoʻllab-quvvatlanadigan paketning yomon oʻrnini bosuvchidir. Siz xavfli zanjirning rad etilishini va qonuniy mijozlarning hali ham ishlashini xohlaysiz. Nashr tarixi ikkala qarorni ham saqlaydi. Xavfsizlikni tozalash shoshilinch, aniq va tushlik paytida qaysi xizmat buzilsa, ayblanadigan jozibador ishga ega.

2:54 Node ning yigirma toʻrt nuqta yigirma ikki nuqta bir versiyasi bugun yangilangan ildizlar bilan chiqarildi. Oʻz tarmoqingizning maslahat va haqiqiy CA konfiguratsiyasini tekshiring.

Python va Node ga qaysi yangilanishlar yetib keldi?

3:01 Maxsus toʻplam jarayon ishlatadigan ishonch doʻkonini oʻzgartirishi mumkin. Torda tadqiqotchi kecha uch yuz oʻttiz uchta buzilgan chiqish releyi haqida hisobot e'lon qildi. Toʻxtatish shu oy boshida boshlangan. Releylar bir necha kun oʻtgach, yozma hisobot kelishidan oldin belgilandi va oʻchirildi. SSH tadqiqotchini serverning identifikatori oʻzgarganligi haqida ogohlantirdi. U buni Torning tarmoq salomatligi jamoasiga xabar qildi. Ularning operator xabari toʻxtatish haqidagi hisobotlarni tasdiqlaydi. Bu ogohlantirish autentifikatsiya qilish kerak boʻlgan noqulay ishni aynan bajarayotgan edi.

3:26 Taxminan oʻn foiz turli quvvatga ega releylarni sanadi, trafik ulushini oʻlchovsiz qoldirib. Tor yoʻnalishi va SSH server identifikatori alohida ishlarga ega.

Tor xost-kalit ogohlantirishi nimani aniqladi?

3:36 Oʻzgargan xost kalitini ishonchli kanal orqali tekshiring, uni qabul qilishdan va kirishdan oldin. Ilovangizga qaytib, ishlayotgan konteyner yoki virtual muhitdan boshlang. U aslida ishlatadigan CA toʻplamini toping va tegishli yangilanishni qoʻllang. Joylashtirilgan jarayonni qayta quring va qayta ishga tushiring, shunda u oʻzgargan ishonch materialini yuklashi mumkin. Mijozning haqiqiy muhitida qoʻllab-quvvatlovchilarning ommaviy sinov zanjirlaridan foydalaning. Sertifikat xatosini tarmoqning vaqt tugashidan ajrating. Mehmonxona Wi-Fi da muvaffaqiyatsiz ulanish mehmonxona Wi-Fi ning ajoyib sinovidir.

3:57 Kichkina bogʻliqlik alohida toʻplangan ishonch doʻkonidir, certifi kabi. Ish stolingiz brauzeri eski konteyner ichidagi bu bogʻliqlikni hech qachon oʻzgartirmaydi. Joylashtirilgan jarayon va uning konfiguratsiyasi tuzatish kelganligini hal qiladi. Bu sizning yangilanishlaringizni tekshirish joyidir. Agar buni men aytganimdan koʻra oʻqishni afzal koʻrsangiz, diff har kuni ertalab pochta qutingizga bepul keladi, thedailydiff dot dev saytida, havola pastda.

Joylashtirilgan tuzatishni qanday tekshirasiz?

4:12 Shunday qilib, bugungi hukm NEEDS REVIEW. Men joylashtirilgan mijozning ishonchini tekshirishni xohlayman, kimdir bu hodisani yopishidan oldin. Obuna boʻling, qoʻngʻiroqni bosing va izohlarda buni boshqacha tamgʻalagan boʻlsangiz ayting. Va bugungi farq shu. Men Axrisidan Nikoman. Mas'uliyat bilan birlashtiring. eMudhra oraliq CA kompromisi: brauzer bloklash roʻyxatlari va ish vaqtidagi ishonch boʻshligʻi Sakkizta eMudhra oraliq imzolash kaliti buzilgan, shulardan oltitasi TLS uchun va ikkitasi kod imzolash uchun ishlatilgan. Bu hodisa Mozilla tasdiqlashidan, brauzerni bloklashdan va joylashtirilgan ilovaning oʻz ishonch konfiguratsiyasini tekshirish kerakligini tushuntirish uchun keyingi yangilanishlardan soʻng sodir boʻldi. Alohida Tor hisoboti SSH xost-identifikatorining ogohlantirishi oʻz ishini qilayotganini koʻrsatadi.

4:42 Sakkizta eMudhra oraliq imzolash kaliti buzilgan, shulardan oltitasi TLS uchun va ikkitasi kod imzolash uchun ishlatilgan. Bu hodisa Mozilla tasdiqlashidan, brauzerni bloklashdan va joylashtirilgan ilovaning oʻz ishonch konfiguratsiyasini tekshirish kerakligini tushuntirish uchun keyingi yangilanishlardan soʻng sodir boʻldi. Alohida Tor hisoboti SSH xost-identifikatorining ogohlantirishi oʻz ishini qilayotganini koʻrsatadi. Buzilgan kalitlar oraliq imzolovchilarga tegishli. Asosiy ishonchsizlik asosiy maxfiy kalitning buzilganligini isbotlamasdan zanjirni yumshatishi mumkin. Brauzerning favqulodda bloklash roʻyxati va ilovaning toʻplangan CA doʻkoni alohida yangilanish yoʻllarini kuzatishi mumkin. Ishlayotgan jarayonni va uning haqiqiy ishonch konfiguratsiyasini tekshiring.

NEEDS REVIEW tamgʻasini nima oladi?

4:51 Mozilla mustaqil ravishda tiklanishi mumkin boʻlgan maxfiy kalitlarni tasdiqladi. Hisobotda ta'sirlangan oraliqlar uchun CT yozuvlari tasvirlanmagan; boshqa mijozlarga nisbatan haqiqiy suiiste'mol noma'lumligicha qolmoqda. Asosiy relizlar muhokama qilingan tarmoqlar uchun certifi 2026.10.19 va Node 24.22.1 ni tekshiradi. Maxsus CA toʻplamlari va boshqa ish vaqti tarmoqlari oʻz tekshiruvlariga muhtoj. Tor tadqiqotchisining 333-releli hisobi oktyabr oyining boshida sodir boʻlgan va 20-oktyabrda nashr etilgan voqeaga tegishli. Taxminan oʻn foiz bu trafikni ushlab qolish oʻlchovi emas, balki reley soni. Faqatgina tarmoqning vaqt tugashi buzilgan zanjirni sertifikat tekshiruvi rad etganligini isbotlamaydi. Tekshiruvni saqlang va transport xatolarini autentifikatsiya xatolaridan ajrating. Nima uchun oʻrnatilgan brauzer ilovani himoyasiz qoldirishi mumkin? Oraliq kalit nimani avtorizatsiya qiladi?

Manbalar

1. eMudhra Intermediate CA CompromiseDennis Jackson
2. Private key compromise of eMudhra Intermediate CertificatesMozilla Bugzilla
3. certifi 2026.10.19 releasecertifi
4. Restore unaffected emSign rootscertifi
5. Node 24.22.1 security releaseNode.js
6. Update root certificates to NSS 3.131.1Node.js
7. How I got over 300 Tor exit nodes removedKABA
8. Security incident affecting some relay operatorsTor Project network health