مصالحه EMudhra Intermediate CA

کلیدهای خصوصی هشت گواهینامه CA متوسط ​​eMudhra به خطر افتاده است. آنها به ریشه های مورد اعتماد برنامه های ریشه موزیلا، مایکروسافت، اپل و کروم و بسیاری از فروشگاه های اعتماد پایین دستی متصل می شوند.

برای نشان دادن اینکه کلیدها به خطر افتاده اند، گزارشگر اصلی وین پیام زیر را با کلید خصوصی هر یک از هشت CA میانی امضا کرد و در 17 اکتبر به تیم های برنامه ریشه گزارش داد:

proof.zip حاوی پیام، و برای هر واسطه گواهی، کلید عمومی آن و یک امضا روی پیام است. برای تأیید با OpenSSL:

برنامه های ریشه و بسیاری از فروشگاه های اعتماد پایین دستی برای محافظت از کاربران خود اقدام کرده اند. گواهینامه ها در فایرفاکس و کروم از 17 اکتبر، در دستگاه های اپل از 19 و در مایکروسافت از 20 ام مسدود شده اند.

این موضوع به طور مسئولانه در 19 اکتبر به فروشگاه های تراست پایین دستی افشا شد. بسیاری قبلا به‌روزرسانی‌هایی را منتشر کرده‌اند یا در حال انتشار به‌روزرسانی‌ها هستند.

مهاجمی که کلید خصوصی هر یک از CAهای میانی در معرض خطر را داشته باشد، می‌تواند جعل هویت هر وب‌سایت یا سرویسی باشد.

این مورد قبلا توسط Mozilla، Microsoft، Apple و Chrome برای کاربرانشان از طریق ابزارهایشان برای توزیع اطلاعات لغو مانند OneCRL، CRLite و CRLSets اصلاح شده است.

CA همچنین گواهی‌های میانی در معرض خطر را باطل کرده است. با این حال، بسیاری از مشتریان دیگر اطلاعات ابطال را مصرف نمی کنند و برای اطمینان از اینکه دیگر به واسطه های در معرض خطر اعتماد ندارند، به به روز رسانی نرم افزار نیاز دارند.

برای بررسی curl یا سایر کلاینت های خط فرمان، اجرا کنید:

خطای گواهی به این معنی است که مشتری به واسطه های در معرض خطر اعتماد ندارد.

برای بررسی یک فروشگاه اعتماد آفلاین، chains.zip حاوی زنجیره گواهی است که توسط هر یک از دوازده میزبان بالا در قالب PEM ارائه می‌شود، همراه با دستورالعمل‌هایی برای تأیید آنها با OpenSSL.

کاربران باید مرورگرها و سیستم عامل های خود را در اسرع وقت به آخرین نسخه به روز کنند.

موارد بیشتری را در github.com/galadran/we-have-a-problem.com اضافه کنید.

macOS واسطه‌های در معرض خطر را مسدود می‌کند، اما /usr/bin/curl داخلی گواهی‌ها را در برابر /etc/ssl/cert.pem بدون بررسی ابطال تأیید می‌کند و آن فایل به‌روزرسانی نشده است. برای حذف ریشه های آسیب دیده از آن، اجرا کنید:

تا زمانی که یک توزیع بسته گواهینامه‌های کلسیم به‌روز را ارسال کند، کاربران متخصص می‌توانند به ریشه‌های آسیب‌دیده در فروشگاه اعتماد سیستم اعتماد نداشته باشند. این برای کاربران عادی توصیه نمی شود.

در فدورا، RHEL، CentOS Stream، Rocky Linux، AlmaLinux و Amazon Linux 2023، به صورت روت اجرا کنید:

لطفا این موضوع را در انجمن توسعه سیاست امنیتی موزیلا ببینید.

Impacted-intermediates.json هشت واسطه و علائم متقاطع Sectigo آنها را فهرست می کند. roots.json ریشه هایی را که به آنها زنجیره می زنند فهرست می کند.

سایت منتشر شده توسط دنیس جکسون. منبع در GitHub است و از روابط عمومی استقبال می شود.