# eMudhra intermediate CA compromise: trình duyệt chặn và khoảng trống tin cậy thời gian chạy

Published: 2026-10-21

Tám khóa ký trung gian của eMudhra đã bị lộ, bao gồm sáu khóa dùng cho TLS và hai khóa dùng để ký mã. Vụ việc này xảy ra sau khi Mozilla xác nhận, trình duyệt chặn và các bản cập nhật tiếp theo để giải thích tại sao một ứng dụng đã triển khai cần kiểm tra cấu hình tin cậy của riêng nó. Một báo cáo Tor riêng biệt cho thấy cảnh báo nhận dạng máy chủ SSH đang hoạt động.

Canonical: https://thedailydiff.dev/vi/video/2026-10-21-emudhra-trust-gap/

## Nội dung video này đề cập

- Các khóa bị lộ thuộc về các bộ ký trung gian. Việc hủy bỏ niềm tin vào root có thể giảm thiểu một chuỗi mà không cần chứng minh rằng khóa riêng của root đã bị lộ.
- Danh sách chặn khẩn cấp của trình duyệt và kho CA đi kèm của ứng dụng có thể tuân theo các đường dẫn cập nhật riêng biệt. Kiểm tra quy trình đang chạy và cấu hình tin cậy thực tế của nó.
- Mozilla đã độc lập xác nhận các khóa riêng có thể khôi phục được. Báo cáo không mô tả các mục nhập CT cho các trung gian bị ảnh hưởng; việc lạm dụng thực tế đối với các máy khách khác vẫn chưa được biết.
- Các bản phát hành chính xác minh certifi 2026.10.19 và Node 24.22.1 cho các nhánh được thảo luận. Các gói CA tùy chỉnh và các nhánh thời gian chạy khác cần kiểm tra riêng.
- Tài khoản 333 relay của nhà nghiên cứu Tor liên quan đến một sự cố đầu tháng 10 được công bố vào ngày 20 tháng 10. Khoảng mười phần trăm là số lượng relay, không phải là số đo lưu lượng bị chặn.
- Chỉ riêng việc hết thời gian chờ mạng không chứng minh được rằng việc xác thực chứng chỉ đã từ chối một chuỗi bị lộ. Duy trì xác minh và phân biệt lỗi truyền tải với lỗi xác thực.

## Chương

- 0:00 Tại sao một trình duyệt đã sửa lỗi có thể khiến ứng dụng bị lộ?
- 0:49 Khóa trung gian ủy quyền những gì?
- 1:22 Điều gì đã được chứng minh, và điều gì vẫn chưa được biết?
- 2:03 Tại sao trình duyệt và thời gian chạy lại không đồng bộ?
- 2:58 Những bản cập nhật nào đã đến được Python và Node?
- 3:33 Cảnh báo khóa máy chủ Tor đã phát hiện ra điều gì?
- 4:10 Làm thế nào để kiểm tra bản sửa lỗi đã triển khai?
- 4:51 Điều gì được đóng dấu CẦN XEM LẠI?

## Bản ghi đã dịch

Được dịch từ lời tường thuật tiếng Anh gốc. Âm thanh và phụ đề có sẵn được điều khiển bởi YouTube.

### Tại sao một trình duyệt đã sửa lỗi có thể khiến ứng dụng bị lộ?

0:00 Bản sửa lỗi trình duyệt eMudhra nghe có vẻ như mọi thứ đã ổn. Tám khóa ký bị lộ vẫn để lại phần mềm với các quyết định tin cậy cũ. Trong video này, ai có thể ký? Tại sao các máy khách lại không đồng bộ? Và bản cập nhật nào thực sự đến được ứng dụng của bạn? Một phụ thuộc nhỏ giữ danh sách tin cậy của riêng nó. Chúng ta sẽ quay lại quy trình quyết định xem bản sửa lỗi của bạn đã đến hay chưa. Hôm nay là thứ Tư, ngày 21 tháng 10, và đây là The Daily Diff.

0:22 eMudhra là một tổ chức cấp chứng chỉ. Nó ký các chứng chỉ số giúp phần mềm xác thực các trang web và dịch vụ. Các khóa bị lộ bao gồm sáu khóa dùng cho kết nối web và hai khóa dùng để ký phần mềm. Một trung gian là một bộ ký được ủy quyền dưới một root đáng tin cậy. Vào thứ Sáu, một phóng viên tên Wayne đã gửi bằng chứng cho các chương trình root. Đến thứ Ba, trang sự cố công khai đã giải thích về việc dọn dẹp. Hôm nay, các nhà phát triển sẽ khám phá ra có bao nhiêu bản sao tin cậy mà ứng dụng hoàn toàn bình thường của họ đã thu thập được.

### Khóa trung gian ủy quyền những gì?

0:49 Đây là chuỗi thông thường. Một trang web trình bày một chứng chỉ, một trung gian ký nó, và máy khách của bạn theo chuỗi đến một root mà nó đã tin cậy. Root là điểm khởi đầu cục bộ của bạn. Bất cứ ai kiểm soát khóa riêng của trung gian đều có thể ký dưới quyền đó. Một chữ ký hợp lệ về mặt toán học có thể có một người ký hoàn toàn không đáng tin cậy. Người xác thực cần một cách để rút lại sự tin cậy sau khi bị lộ. Wayne đã ký tin nhắn, Chúng ta có một vấn đề ở đây, Wayne,

1:12 với mỗi khóa. Mozilla đã xác minh quyền kiểm soát khóa, sau đó độc lập khôi phục các khóa. Phản ứng khẩn cấp bắt đầu bằng một câu nghe có vẻ như ai đó đã nhận thấy máy in văn phòng đang bốc khói.

### Điều gì đã được chứng minh, và điều gì vẫn chưa được biết?

1:22 Báo cáo công khai nói rằng các khóa đã được tạo không đúng cách và có thể khôi phục từ các chứng chỉ, được tạo vào tháng 4 năm ngoái. Việc lạm dụng thực tế đối với phần mềm khác vẫn chưa được biết. Quyền ký có thể khôi phục là đủ khẩn cấp mà không cần một danh sách nạn nhân được bịa đặt. Có một giới hạn quan trọng ở đây. Báo cáo không tìm thấy mục nhập chứng chỉ minh bạch cho các trung gian đó trong giai đoạn đó.

1:42 Nó nói rằng các trình duyệt thực thi tính minh bạch không thể bị tấn công thông qua tuyến đường này. Kiểm tra trình duyệt bổ sung đó giúp giải thích tại sao tiêu đề một mình lại phóng đại bức tranh. eMudhra nói với Mozilla rằng khoảng ba mươi nghìn chứng chỉ cần di chuyển sang một chuỗi khác. Đó là các dịch vụ đang hoạt động mà chủ sở hữu phải thay thế chứng chỉ trong quá trình dọn dẹp. Ở đâu đó, một lời mời lịch vừa trở thành một phụ thuộc sản xuất.

### Tại sao trình duyệt và thời gian chạy lại không đồng bộ?

2:03 Các nhà cung cấp trình duyệt phân phối danh sách chặn khẩn cấp. Báo cáo ghi lại hành động của Firefox và Chrome vào thứ Sáu, tiếp theo là Apple và Microsoft. Các máy khách này có thể từ chối trung gian bị lộ trong khi vẫn nhận ra root của nó. Quy tắc đó di chuyển riêng biệt khỏi gói ứng dụng của bạn. Một số máy khách kiểm tra chuỗi dựa trên các root đáng tin cậy mà không sử dụng thông tin thu hồi khẩn cấp. Tổ chức có thể xuất bản một thông báo thu hồi, và máy khách đó có thể tiếp tục chấp nhận chuỗi.

2:27 Đặt một biển báo trên cửa hoạt động tốt hơn khi khách đọc biển báo. Mozilla nói rằng một số hồ sơ Android đã không áp dụng danh sách chặn cập nhật khi khởi động. Một bản sửa lỗi đã được phát hành trong Firefox một trăm năm mươi tám chấm không hai. Vì vậy, hãy giữ trình duyệt luôn cập nhật. Thông báo không thể kiểm kê điện thoại của bạn. Những người bảo trì có thể xóa một anchor tin cậy khi máy khách thiếu chặn hẹp hơn. Luồng của Mozilla mô tả việc hủy bỏ tin cậy khẩn cấp đối với root emSign ECC, thế hệ ba. Việc xóa một root khỏi kho tin cậy sẽ chặn các chuỗi dựa vào

2:54 nó, ngay cả khi khóa riêng của root đó chưa bao giờ bị lộ. Bản phát hành certifi mới nhất của Python là một bản cập nhật tiếp theo.

### Những bản cập nhật nào đã đến được Python và Node?

3:01 Cam kết của nó cũng khôi phục các root emSign không bị ảnh hưởng sau khi xóa trước đó. Xóa mọi thứ mang tên công ty là một sự thay thế tồi tệ cho gói được bảo trì. Bạn muốn chuỗi nguy hiểm bị từ chối và các khách hàng hợp pháp vẫn hoạt động. Lịch sử phát hành giữ lại cả hai quyết định. Việc dọn dẹp bảo mật có nhiệm vụ hào nhoáng là khẩn cấp, chính xác và bị đổ lỗi cho bất kỳ dịch vụ nào bị hỏng trong bữa trưa. Phiên bản Node hai mươi tư chấm hai mươi hai chấm một đã được phát hành hôm nay với các root

3:26 đã cập nhật. Kiểm tra khuyến nghị của nhánh riêng của bạn và cấu hình CA thực tế. Một gói tùy chỉnh có thể thay đổi kho tin cậy mà quy trình sử dụng. Trong Tor, một nhà nghiên cứu đã công bố hôm qua một báo cáo về ba trăm ba mươi

### Cảnh báo khóa máy chủ Tor đã phát hiện ra điều gì?

3:36 ba relay thoát bị lộ. Vụ chặn bắt đầu vào đầu tháng này. Các relay đã bị gắn cờ và tắt vài ngày sau đó, trước khi bài viết đến. SSH đã cảnh báo nhà nghiên cứu rằng danh tính của máy chủ đã thay đổi. Anh ấy đã báo cáo cho nhóm sức khỏe mạng của Tor. Thông báo của nhà điều hành của họ xác nhận các báo cáo về việc chặn. Cảnh báo đó đang làm chính xác điều bất tiện mà xác thực được cho là phải làm.

3:57 Khoảng mười phần trăm đã đếm các relay với các dung lượng khác nhau, để lại phần lưu lượng chưa được đo. Định tuyến Tor và nhận dạng máy chủ SSH có các nhiệm vụ riêng biệt. Xác minh khóa máy chủ đã thay đổi thông qua một kênh đáng tin cậy trước khi bạn chấp nhận nó và đăng nhập. Trở lại ứng dụng của bạn, bắt đầu với container hoặc môi trường ảo đang chạy.

### Làm thế nào để kiểm tra bản sửa lỗi đã triển khai?

4:12 Tìm gói CA mà nó thực sự sử dụng và áp dụng bản cập nhật được bảo trì có liên quan. Xây dựng lại và khởi động lại quy trình đã triển khai để nó có thể tải vật liệu tin cậy đã thay đổi. Sử dụng các chuỗi thử nghiệm công khai của người bảo trì trong môi trường thực của máy khách. Giữ lỗi chứng chỉ tách biệt khỏi việc hết thời gian chờ mạng. Một kết nối thất bại trên Wi-Fi khách sạn là một thử nghiệm tuyệt vời cho Wi-Fi khách sạn. Phụ thuộc nhỏ là một kho tin cậy được đóng gói riêng biệt, như certifi. Trình duyệt máy tính để bàn của bạn không bao giờ chỉnh sửa phụ thuộc đó bên trong một container cũ. Quy trình đã triển khai và cấu hình của nó quyết định xem bản sửa lỗi

4:42 đã đến hay chưa. Đó là nơi để xác minh bản cập nhật của bạn. Nếu bạn muốn đọc điều này hơn là nghe tôi nói, The Diff sẽ đến hộp thư đến của bạn mỗi sáng, miễn phí tại the daily diff dot dev, liên kết bên dưới.

### Điều gì được đóng dấu CẦN XEM LẠI?

4:51 Vì vậy, phán quyết hôm nay là CẦN XEM LẠI. Tôi muốn tin cậy của máy khách đã triển khai được kiểm tra trước khi bất kỳ ai đóng sự cố này. Đăng ký, nhấn chuông và cho tôi biết trong phần bình luận nếu bạn sẽ đóng dấu nó khác đi. Và đó là sự khác biệt trong ngày hôm nay. Tôi là Niko từ Axrisi. Hợp nhất có trách nhiệm.

## Nguồn

- [eMudhra Intermediate CA Compromise](https://emudhra.we-have-a-problem.com/) — Dennis Jackson
- [Private key compromise of eMudhra Intermediate Certificates](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449) — Mozilla Bugzilla
- [certifi 2026.10.19 release](https://github.com/certifi/python-certifi/releases/tag/2026.10.19) — certifi
- [Restore unaffected emSign roots](https://github.com/certifi/python-certifi/commit/662df63d7906df66f1f07c0751a3dfe9da14d914) — certifi
- [Node 24.22.1 security release](https://github.com/nodejs/node/releases/tag/v24.22.1) — Node.js
- [Update root certificates to NSS 3.131.1](https://github.com/nodejs/node/pull/66877) — Node.js
- [How I got over 300 Tor exit nodes removed](https://kaba.cx/posts/20261020_Tor/) — KABA
- [Security incident affecting some relay operators](https://lists.torproject.org/mailman3/hyperkitty/list/tor-relays@lists.torproject.org/thread/WOHPLKCSHYXFTBRZXDENDKJZMBMPLMG5/) — Tor Project network health