---
title: "eMudhra इंटरमीडिएट CA समझौता: प्रभाव और उपचार गाइड"
description: "प्रभावित ट्रस्ट पथों का आकलन करें और वास्तविक प्रमाणपत्र सत्यापनकर्ता की जांच के साथ ऑपरेटिंग सिस्टम, ब्राउज़र, रनटाइम और कंटेनर को अपडेट करें।"
language: "hi"
url: "https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide"
author: "KeenDigit"
published: "2026-10-22"
---

# eMudhra इंटरमीडिएट CA समझौता: प्रभाव और उपचार गाइड

प्रभावित ट्रस्ट पथों का आकलन करें और वास्तविक प्रमाणपत्र सत्यापनकर्ता की जांच के साथ ऑपरेटिंग सिस्टम, ब्राउज़र, रनटाइम और कंटेनर को अपडेट करें।

**स्रोतों ने 22 अक्टूबर, 2026, बीजिंग समय पर जाँच की।** **दर्शक: व्यक्तिगत उपयोगकर्ता, वेबसाइट ऑपरेटर, डेवलपर्स और सिस्टम प्रशासक।**

गंभीर कमज़ोरियों ने eMudhra/emSign मध्यवर्ती CA निजी कुंजियों के एक समूह को पुनर्प्राप्त करने योग्य बना दिया। यह उन ग्राहकों को प्रभावित करता है जो वेबसाइटों, एपीआई और सॉफ़्टवेयर को प्रमाणित करने के लिए सार्वजनिक प्रमाणपत्र प्रणाली का उपयोग करते हैं। सार्वजनिक विश्वास प्रमुख ऑपरेटिंग सिस्टमों तक फैला हुआ है, लेकिन समझौता की गई कुंजियों का सेट और संभावित ग्राहक प्रभाव अलग-अलग दायरे हैं। [1](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-1)[5](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-5)

मुख्य पाठ संबंधित स्रोतों को क्रमांकित करने के लिए वर्गाकार कोष्ठकों का उपयोग करता है, और सभी बाहरी संदर्भ लिंक परिशिष्ट में सूचीबद्ध हैं। सूचीबद्ध संस्करण वह संस्करण बेसलाइन है जिसकी पुष्टि सत्यापन तिथि के अनुसार इस घटना के लिए समाधान शामिल करने के लिए की गई है। तैनाती करते समय, उसी समर्थित शाखा में अद्यतन स्थिर संस्करण को प्राथमिकता दी जाती है।

## TL;DR

**Eight मध्यवर्ती CA निजी कुंजियों से छेड़छाड़ की पुष्टि की गई है। वर्तमान रिपोर्टें यह स्थापित नहीं करती हैं कि रूट निजी कुंजी या सामान्य तौर पर HTTPS क्रिप्टोग्राफी को तोड़ दिया गया है। अद्यतन सार्वजनिक विश्वास पारिस्थितिकी तंत्र के अधिकांश हिस्से को कवर करते हैं; अवशिष्ट जोखिम वास्तविक अनुप्रयोग पर निर्भर करता है।**[1](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-1)[5](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-5)

1. **व्यक्तिगत उपयोगकर्ता:** ब्राउज़र, ऑपरेटिंग सिस्टम और सुरक्षा घटकों को अपडेट करें। Android पर, Google Play सेवाओं को भी अपडेट करें। Firefox Android 158.0.2 या बाद के संस्करण का उपयोग करें। [1](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-1)[2](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-2)
2. **सर्वर:** वितरण के `ca-certificates`/NSS पैकेज को अपडेट करें और एप्लिकेशन-बंडल ट्रस्ट स्टोर की जांच करें। केवल होस्ट को अपडेट करना अपर्याप्त है. [7](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-7)[8](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-8)[10](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-10)
3. **विकास परिवेश:** Node 24 को 24.22.1 में अपडेट करें या उस शाखा में एक नई रिलीज, जैसा लागू हो। Python परिवेश में, कम से कम pip 26.2.2, certifi 2026.10.19, और uv 0.13.4 पर अपडेट करें। निश्चित Go बायनेरिज़ प्राप्त करें या उनका पुनर्निर्माण करें; अपने विक्रेता की सलाह के अनुसार Java को अपडेट करें। [12](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-12)-[15](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-15)
4. **अपडेट सक्रिय करें:** प्रभावित सेवाओं को पुनरारंभ करें और कंटेनरों का पुनर्निर्माण और पुन: तैनाती करें। Cloudflare Tunnel के लिए, cloudflared को 2026.10.2 या बाद में अपडेट करें। [7](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-7)
5. **वेबसाइट प्रमाणपत्र:** एक प्रभावित श्रृंखला को प्रतिस्थापित करता है यदि इसमें एक निरस्त या अवरुद्ध मध्यवर्ती CA शामिल है, या एक अविश्वसनीय रूट पर निर्भर है। किसी प्रमाणपत्र को दोबारा जारी करना क्लाइंट ट्रस्ट स्टोर को अपडेट करने का स्थान नहीं लेता है। [1](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-1)[5](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-5)[8](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-8)
6. **सत्यापन:** प्रत्येक एप्लिकेशन के वास्तविक TLS पथ का परीक्षण करें। प्रमाणपत्र अस्वीकृति को टाइमआउट और DNS विफलताओं से अलग करें। प्रमाणपत्र सत्यापन सक्षम रखें; त्रुटियों को दबाने के लिए `-k` का उपयोग न करें या सत्यापन को छोड़ें नहीं। [7](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-7)

## 1 घटना के तथ्य एवं कारण

### पुष्ट तथ्य

Mozilla और Google ने आठ eMudhra मध्यवर्ती CA निजी कुंजियों में खराबी की पुष्टि की है। शोधकर्ता ने निजी-कुंजी नियंत्रण का प्रमाण प्रदान किया; Mozilla ने स्वतंत्र रूप से कुंजियाँ पुनर्प्राप्त कीं और समस्या को पुन: उत्पन्न किया। छह मध्यवर्ती सीए TLS की सेवा देते हैं और दो कोड हस्ताक्षर की सेवा प्रदान करते हैं। [2](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-2)[5](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-5)

दोष उत्पन्न कुंजी में निहित है: ये मध्यवर्ती सीए P-384 वक्र का उपयोग करते हैं, लेकिन उनकी निजी कुंजी 256 से नीचे पूर्णांक हैं। यह इच्छित बड़ी सीमा से यादृच्छिक रूप से कुंजी का सुरक्षित रूप से चयन करने से बहुत दूर है। इन कमजोर कुंजियों को पुनर्प्राप्त करने से यह प्रदर्शित नहीं होता है कि ठीक से उत्पन्न P-384 कुंजियाँ तोड़ी जा सकती हैं। [2](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-2)

यहां "प्रमाणपत्र क्रैक हो गया है" को सटीक रूप से समझा जाना चाहिए क्योंकि "संबंधित निजी कुंजी पुनर्प्राप्त की जा सकती है"। प्रमाणपत्र और उसमें मौजूद सार्वजनिक कुंजी स्वाभाविक रूप से सार्वजनिक हैं; जिस चीज़ को वास्तव में गुप्त रखने की आवश्यकता है वह निजी कुंजी है जो वैध हस्ताक्षर उत्पन्न कर सकती है।

### कुंजी-जनरेशन प्रक्रिया संबंधी मुद्दों की अभी भी जांच चल रही है

eMudhra का प्रारंभिक विवरण अप्रैल 2025 में एक कुंजी निर्माण समारोह में समस्या का पता लगाता है। स्पष्टीकरण में एक कुंजी एनकैप्सुलेशन और डीकैप्सुलेशन चरण शामिल है: मूल मजबूत कुंजी के अलावा, कमजोर कुंजी का एक और सेट दिखाई देता है, और कमजोर कुंजी बाद में प्रमाणपत्र आवेदन और जारी करने के लिए उपयोग की जाती है। कंपनी ने अभी भी कहा कि सटीक मूल कारण निर्णायक रूप से निर्धारित नहीं किया गया है। [6](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-6)

इसलिए, जो निर्धारित किया जा सकता है वह यह है कि ये कुंजियाँ गंभीर रूप से कमजोर हैं और इनसे समझौता किया गया है; विफलता को आगे वर्णित नहीं किया जा सकता है क्योंकि HSM का एक निश्चित हार्डवेयर यादृच्छिक संख्या स्रोत दोषपूर्ण साबित हुआ है, न ही इसे RSA, ECC या TLS की सामान्य क्रिप्टोग्राफ़िक सफलता के रूप में वर्णित किया जा सकता है।

### रूट प्रमाणपत्र अविश्वास का क्या अर्थ है?

ब्राउज़र या ऑपरेटिंग सिस्टम प्रभावित इंटरमीडिएट CA के प्रमाणपत्र या सार्वजनिक कुंजी को सीधे ब्लॉक कर सकता है, या यह उन तक पहुंचने वाले रूट ट्रस्ट को हटा सकता है। बाद वाला उपाय उसी मूल के तहत कुछ वैध प्रमाणपत्रों को भी अस्वीकार कर देगा।

Google ने Chrome रूट स्टोर के उन उपयोगकर्ताओं की सुरक्षा के लिए `emSign ECC Root CA - G3` को हटाने का कार्यक्रम निर्धारित किया है, जिन्हें CRLSet से अपडेट प्राप्त नहीं होते हैं। बीजिंग समयानुसार 27 से 28 अक्टूबर की इसी अवधि के दौरान रूट स्टोर हटाने की प्रक्रिया आगे बढ़ाए जाने की उम्मीद है; Google का मूल समय 27 अक्टूबर की सुबह, यूएस पैसिफिक डेलाइट टाइम है। यह योजना आपातकालीन सार्वजनिक कुंजी अवरोधन से अलग है जिसे पहले तैनात किया गया है। [1](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-1)

**रूट पर अविश्वास करना एक प्रतिक्रिया उपाय है; यह स्वयं साबित नहीं करता है कि रूट निजी कुंजी से समझौता किया गया था।**

## 2 क्यों संभावित प्रभाव सार्वजनिक विश्वास पारिस्थितिकी तंत्र तक फैला है

### समझौताकृत कुंजियाँ और प्रभावित विश्वास पथ

| निर्णय वस्तु                                               | इस घटना का दायरा                                                                                                        |
| ---------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------- |
| समस्याग्रस्त कुंजी की पहचान की गई                          | eMudhra के लिए 8 इंटरमीडिएट CA निजी कुंजियाँ                                                                            |
| ऐसे प्लेटफ़ॉर्म जिनके लिए कार्रवाई की आवश्यकता हो सकती है  | सार्वजनिक रूट स्टोर, ब्राउज़र, ऑपरेटिंग सिस्टम, भाषा रनटाइम, सॉफ्टवेयर पैकेज और कंटेनर इकोसिस्टम                        |
| संभवतः प्रतिरूपित पहचान TLS                                | ग्राहकों द्वारा देखी गई वेबसाइटें या सेवाएँ जो अभी भी संबंधित जाली प्रमाणपत्र श्रृंखला को स्वीकार करती हैं              |
| क्या इसका मतलब यह है कि सभी उपकरणों से समझौता किया गया है? | नहीं; विश्वास की स्थितियाँ, हमलावर नेटवर्क स्थान और अन्य सत्यापन रणनीतियाँ शोषण क्षमता निर्धारित करती हैं               |
| क्या इसका मतलब यह है कि सभी कानूनी प्रमाणपत्र अमान्य हैं?  | नहीं; संबंधित अमान्यकरण इस बात पर निर्भर करता है कि ग्राहक ने किन जड़ों या प्रमाणपत्र श्रृंखलाओं पर भरोसा नहीं किया है। |

Red Hat स्पष्ट रूप से शोषण को उन स्थितियों तक सीमित करता है जहां ग्राहक अभी भी संबंधित श्रृंखला को स्वीकार करता है, हमलावर के पास समझौता की गई निजी कुंजी होती है, और वह नेटवर्क में कनेक्शन को बाधित करने में सक्षम होता है। जोखिम कवरेज को घटित हमलों की संख्या से भ्रमित नहीं किया जाना चाहिए। [10](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-10)

### अन्य CA का उपयोग करने वाली वेबसाइटें भी प्रतिरूपित की जा सकती हैं

मान लीजिए कि कोई वेबसाइट वास्तव में Let's Encrypt प्रमाणपत्र का उपयोग करती है, और विज़िटर का ग्राहक एक ही समय में कई सार्वजनिक CA पर भरोसा करता है। एक हमलावर उसी डोमेन नाम के लिए दूसरा प्रमाणपत्र बनाने के लिए समझौता किए गए मध्यवर्ती CA का उपयोग करने का प्रयास कर सकता है। ग्राहकों को आमतौर पर पहले से यह आवश्यकता नहीं होती है कि डोमेन नाम केवल Let's Encrypt का उपयोग कर सकता है; यदि नकली श्रृंखला अभी भी स्वीकार की जाती है, तो वेबसाइट वास्तव में जिस CA का उपयोग करती है, वह ऐसे हमलों को खारिज करने के लिए पर्याप्त नहीं है। [8](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-8)

यह तंत्र बताता है: किसी अन्य CA प्रमाणपत्र को प्रतिस्थापित करना जो मूल रूप से सामान्य था, समझौता किए गए CA में ग्राहक के विश्वास को स्वचालित रूप से ठीक नहीं करेगा। ग्राहकों के लिए नकली पहचान स्वीकार करने का रास्ता वास्तव में खत्म करने की जरूरत है।

### तीनों प्रभावों से अलग-अलग निपटने की जरूरत है

**पहचान प्रतिरूपण जोखिम:** जिन ग्राहकों ने संबंधित श्रृंखला को अवरुद्ध नहीं किया है, वे हमलावर द्वारा जाली पहचान को स्वीकार कर सकते हैं, जिससे संवेदनशील अनुरोध नकली सेवाओं को भेजे जा सकते हैं।

**वैध सेवा उपलब्धता जोखिम:** रूट ट्रस्ट को हटाने से अन्यथा वैध वेबसाइटों के लिए प्रमाणपत्र त्रुटियां हो सकती हैं, जिन्हें किसी अन्य स्वीकृत श्रृंखला में माइग्रेशन की आवश्यकता हो सकती है।

**परिनियोजन कवरेज जोखिम:** ऑपरेटिंग सिस्टम को ठीक किया जा सकता है जबकि एप्लिकेशन-बंडल ट्रस्ट स्टोर, वर्चुअल वातावरण, पुरानी कंटेनर छवि, या संकलित प्रोग्राम पुराने सत्यापन व्यवहार को बरकरार रखता है।

ये तीन दायरे समान नहीं हैं. Cloudflare की प्रतिक्रिया में दूरस्थ पहचान सत्यापन, साझा ट्रस्ट स्टोर, आधार छवियां और व्यक्तिगत एप्लिकेशन शामिल हैं, जो बताता है कि बाद के दो कार्यों को अलग से क्यों संभाला जाना चाहिए। [7](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-7)

## 3 प्रभावित CA और प्रमाणपत्र प्रदाता

### प्रदाता और प्रभाव प्रकार

| प्रदाता या सिस्टम                                                | इस घटना में भूमिका                                                                                                 | सीमाएँ जिन्हें अलग करने की आवश्यकता है                                                                                                                                 |
| ---------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------ | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| eMudhra／emSign                                                   | मध्यवर्ती CA निजी कुंजी से सीधे समझौता किया जाता है।                                                               | आप सभी eMudhra रूट्स और सभी प्रमाणपत्रों को क्रैक्ड के रूप में नहीं लिख सकते                                                                                           |
| Sectigo संबंधित क्रॉस-हस्ताक्षर श्रृंखला                         | A क्रॉस-सर्टिफिकेट प्रभावित सार्वजनिक कुंजियों के एक ही बैच के लिए जारी किया गया था, जिससे एक और ट्रस्ट पथ बन गया। | संबंधित क्रॉस प्रमाणपत्र या सार्वजनिक कुंजी को अवरुद्ध करने की आवश्यकता है; Sectigo रूट प्राइवेट कुंजी के साथ समझौता होना सिद्ध नहीं हुआ है।                           |
| Internet2/InCommon के लिए प्रासंगिक प्रमाणपत्र स्तर              | कुछ वैध प्रमाणपत्र हटाए जाने वाले emSign ECC रूट पर निर्भर करते हैं, जिसमें माइग्रेशन भी शामिल है                  | यह मूल अविश्वास का एक संपार्श्विक प्रभाव है और इसे उन 8 कमजोर कुंजियों के मध्य के रूप में नहीं गिना जा सकता है CA                                                      |
| Let's Encrypt, DigiCert, Google Trust Services, GlobalSign, आदि। | इस रिपोर्ट में उस पार्टी के रूप में सूचीबद्ध नहीं है जिसकी निजी कुंजी से छेड़छाड़ की गई थी                         | वैध प्रमाणपत्र समान रूप से अमान्य नहीं होते हैं; असुरक्षित ग्राहक अभी भी उन वेबसाइटों का प्रतिरूपण करते हुए नकली प्रमाणपत्र स्वीकार कर सकते हैं जिन पर वे काम करते हैं |
| CDN, क्लाउड प्लेटफ़ॉर्म, सर्टिफिकेट डीलर                         | मूल और API से कनेक्ट होने पर संभवतः प्रासंगिक प्रमाणपत्र प्रदान करें या सार्वजनिक ट्रस्टस्टोर का उपयोग करें        | वास्तविक प्रमाणपत्र श्रृंखला और सत्यापनकर्ता की जांच करने के लिए, केवल प्लेटफ़ॉर्म या उत्पाद का नाम न देखें                                                            |

Mozilla का नोटिस समझौता की गई कुंजियों और Sectigo क्रॉस-हस्ताक्षरों का दस्तावेजीकरण करता है। Google की सार्वजनिक घटना चर्चा वैध Internet2/InCommon पदानुक्रमों के प्रवासन को संबोधित करती है। [2](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-2)[5](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-5) Cloudflare का पता सेवा और ग्राहक विश्वास को ठीक करता है; वे Cloudflare की अपनी CA निजी कुंजी के समझौते का संकेत नहीं देते हैं। [7](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-7)

### TLS प्रमाणपत्र श्रृंखला और क्रॉस-हस्ताक्षर

निम्नलिखित संबंध इस बार केवल TLS संबंधित पथों का वर्णन करता है। इसमें कोड साइनिंग पथ शामिल नहीं हैं, न ही इसका मतलब यह है कि ये पथ अभी भी सभी प्लेटफ़ॉर्म पर विश्वसनीय हैं। [17](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-17)

- `emSign ECC Root CA - G3` → `emSign Root TLS CA - G3` → प्रभावित TLS इंटरमीडिएट CA सार्वजनिक कुंजी → लक्ष्य डोमेन के लिए जाली प्रमाणपत्र
- `AAA Certificate Services` → प्रभावित TLS इंटरमीडिएट CA सार्वजनिक कुंजी → लक्ष्य डोमेन के लिए जाली प्रमाणपत्र

`emSign Root TLS CA - G3` प्रभावित TLS मध्यवर्ती का एक प्रत्यक्ष जारीकर्ता है और स्वयं कुछ दुकानों में एक ट्रस्ट एंकर हो सकता है। `emSign ECC Root CA - G3` एक और क्रॉस-साइनिंग परत प्रदान करता है। Sectigo का `AAA Certificate Services` समान मध्यवर्ती CA सार्वजनिक कुंजी के लिए एक अतिरिक्त पथ बनाता है। [17](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-17)

इसलिए, मरम्मत करते समय दो अलग-अलग बारीकियाँ होती हैं:

- **सटीक मध्यवर्ती CA या सार्वजनिक कुंजी को ब्लॉक करें:** यह उसी रूट के तहत अन्य वैध पदानुक्रमों को संरक्षित कर सकता है, जहां सत्यापनकर्ता उस तंत्र का समर्थन करता है।
- **रूट ट्रस्ट हटाएं:** यह मध्यवर्ती CA अवरोधन क्षमताओं के बिना ग्राहकों की सुरक्षा कर सकता है, लेकिन संगतता को प्रभावित कर सकता है। ग्राहक द्वारा स्वीकार किए जाने वाले अन्य सभी पथों को भी कवर किया जाना चाहिए। [5](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-5)

"सभी Sectigo/eMudhra रूट हटाएं" को एक अंधाधुंध सामान्य कदम के रूप में नहीं लिया जाना चाहिए, न ही समान नाम वाले प्रमाणपत्र को हटाने का मतलब यह होना चाहिए कि सभी रास्ते बंद हो गए हैं।

## 4 ऑपरेटिंग सिस्टम और ब्राउज़र कवरेज

### मुख्य मंच

| मंच                                      | ज्ञात स्वभाव                                                                                              | वह दायरा जिसका उपयोग करते समय जाँच की जानी चाहिए                                                                                                    |
| ---------------------------------------- | --------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------- |
| Windows और Windows Server                | Microsoft वितरण स्वचालित प्रमाणपत्र ट्रस्ट सूची अद्यतन के माध्यम से अवरुद्ध किया गया                      | क्या डिवाइस को अपडेट प्राप्त हुआ; स्टैंडअलोन CA bundle आवश्यक रूप से Windows के सत्यापन पथ का उपयोग नहीं करता है                                    |
| macOS, iOS, iPadOS, आदि Apple प्लेटफार्म | घटना समन्वयक ने पुष्टि की कि Apple ने संबंधित नाकाबंदी तैनात कर दी है                                     | प्रत्येक पुराने संस्करण और तृतीय-पक्ष ऐप को समान कवरेज प्राप्त होने की गारंटी नहीं है                                                               |
| Android                                  | Google, Google Play सेवा के माध्यम से समकक्ष ब्लॉक वितरित करता है                                         | Google Play के बिना ROM सेवा को निर्माता की घोषणा के अनुसार सत्यापित किया जाना चाहिए; अतिरिक्त सत्यापन के लिए अंतर्निहित सत्यापनकर्ता का उपयोग करें |
| Ubuntu                                   | सिस्टम प्रमाणपत्र बंडल फ़िक्सेस प्रदान किए गए हैं, जिनमें कई वर्तमान और पुराने संस्करण शाखाएँ शामिल हैं   | ESM का पुराना संस्करण शर्तों, कंटेनर आंतरिक प्रमाणपत्र पैकेज और एप्लिकेशन अंतर्निहित लाइब्रेरी का समर्थन करता है                                    |
| Debian और Devuan                         | Debian रिकॉर्ड किया गया ca-certificates ठीक किया गया                                                      | आपको उपयोग की गई वास्तविक शाखा और स्थापित पैकेज की जांच करनी होगी, और आप किसी अन्य शाखा की संस्करण संख्या की प्रतिलिपि नहीं बना सकते हैं।           |
| RHEL और डेरिवेटिव                        | आधिकारिक सूची RHEL 6, 7, 8, 9, 10 है, और इसमें संबंधित उत्पाद और छवियां शामिल हैं जो प्रभावित हो सकती हैं | इस जाँच के अनुसार, घोषणा में अभी तक सुधारों और इरेटा की पूरी सूची सूचीबद्ध नहीं की गई है; "अपडेट नहीं मिला" को अप्रभावित नहीं माना जा सकता          |
| Fedora, Arch, Gentoo, Alpine, आदि।       | इवेंट अनुरक्षक ने संबंधित मरम्मत रिकॉर्ड संकलित किए हैं                                                   | रिलीज़, संस्करण शाखा और छवि द्वारा स्वतंत्र रूप से पुष्टि की गई                                                                                     |
| FreeBSD                                  | आधिकारिक तौर पर सभी समर्थित संस्करणों को सूचीबद्ध करता है और सिस्टम ट्रस्ट स्टोर मरम्मत प्रदान करता है    | अद्यतन के बाद, घोषणा के अनुसार प्रासंगिक डेमॉन प्रक्रिया को पुनः आरंभ करें; स्वतंत्र एप्लिकेशन ट्रस्ट स्टोर को अलग से जांचें।                       |

Windows, Apple और रिलीज़ के सारांश के लिए, [4](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-4) देखें; Android के लिए, [1](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-1) देखें; Ubuntu, Debian, RHEL, और FreeBSD के लिए जारीकर्ता रिकॉर्ड क्रमशः [8](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-8)-[11](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-11) में दिखाए जाते हैं।

जो सिस्टम अब समर्थित नहीं हैं, ऑफ़लाइन डिवाइस, NAS, राउटर और अन्य एम्बेडेड वातावरणों को यह पुष्टि करने की आवश्यकता है कि क्या वे अभी भी संबंधित श्रृंखला पर भरोसा करते हैं और क्या उनके पास निरस्तीकरण या सॉफ़्टवेयर अपडेट प्राप्त करने के लिए चैनल हैं। प्लेटफ़ॉर्म नाम स्वयं वास्तविक सत्यापन व्यवहार की जाँच का विकल्प नहीं है।

### ब्राउज़र सुरक्षा ऑपरेटिंग सिस्टम सुरक्षा से भिन्न है

Chrome आपातकालीन ब्लॉक वितरित करने के लिए CRLSet का उपयोग करता है; Firefox OneCRL जैसे तंत्र का उपयोग करता है। Firefox को उन कॉन्फ़िगरेशन के लिए अतिरिक्त सुरक्षा प्रदान करने के लिए अवरुद्ध जानकारी के साथ भी जारी किया गया है जो दूरस्थ सेटिंग्स को ठीक से प्राप्त नहीं करते हैं। [1](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-1)[3](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-3)

Firefox Android के कुछ कॉन्फ़िगरेशन ने स्टार्टअप पर अद्यतन सूची को सही ढंग से लागू नहीं किया था, जिसे Mozilla ने 158.0.2. द्वारा ठीक किया गया बताया है, इसलिए, सभी Android Firefox संरक्षित कॉन्फ़िगरेशन को शामिल करने के लिए प्रारंभिक 158.0.1 की स्थिति का विस्तार नहीं किया जा सकता है। [2](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-2)

Apple और Windows के सिस्टम सत्यापन के लिए उपाय किए गए हैं, लेकिन इसका मतलब यह नहीं है कि एक ही मशीन पर सभी कमांड लाइन प्रोग्राम सिस्टम सत्यापन से गुजरेंगे। इवेंट मेंटेनर ने विशेष रूप से याद दिलाया कि कुछ macOS बिल्ट-इन टूल स्वतंत्र प्रमाणपत्र फ़ाइलों का उपयोग करते हैं; जाँच करते समय वास्तविक TLS बैकएंड और CA स्रोत को रिकॉर्ड किया जाना चाहिए। [4](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-4)

### प्रमाणपत्र पारदर्शिता के लिए सुरक्षात्मक सीमाएँ

Google ने पुष्टि की कि ब्लॉक लागू करने से पहले, छह TLS मध्यवर्ती CA ने TLS प्रमाणपत्र जारी नहीं किया था जो CT लॉग में दर्ज हुआ था। इसलिए, Chrome क्लाइंट जो CT को लागू करते हैं, उनके पास अतिरिक्त सुरक्षा है। यह तथ्य इस संभावना से इंकार नहीं करता है कि CT को निष्पादित नहीं करने वाले अन्य ग्राहकों ने अनिर्दिष्ट प्रमाणपत्र स्वीकार कर लिए हैं। [1](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-1)[5](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-5)

"यह पता चला है कि इसे विश्वसनीय जड़ से जोड़ा जा सकता है", "संभावित शोषण की स्थिति मौजूद है" और "एक हमला हुआ है" तीन अलग-अलग निर्णय हैं और इन्हें एक-दूसरे द्वारा प्रतिस्थापित नहीं किया जाना चाहिए।

## 5 विकास परिवेश और रनटाइम मरम्मत बेसलाइन

निम्नलिखित पुष्टि किए गए सुधारों की आधार रेखा है और इन रिलीज़ों को दीर्घकालिक रूप से पिन करने की आवश्यकता नहीं है। डिस्ट्रोज़ पैच को पीछे ले जाकर पुराने संस्करण संख्याओं को ठीक कर सकते हैं, और उनकी सुरक्षा सलाह की भी समीक्षा की जानी चाहिए।

| घटक                 | पुष्टिकृत संस्करण या अद्यतन विधि                                      | परिनियोजन विचार                                                                                                                                                                                            |
| ------------------- | --------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Node.js 24          | 24.22.1 या उसी शाखा के स्थिर संस्करण को अपडेट करें                    | रूट रिपॉजिटरी अपडेट और अवरुद्ध सार्वजनिक कीचेन की अस्वीकृति शामिल है; वास्तव में सेवा द्वारा उपयोग किए गए Node पथ की जाँच करें और पुनरारंभ करें                                                            |
| Python certifi      | 2026.10.19 या नया संस्करण                                             | प्रत्येक वास्तविक चल रहे वातावरण की जाँच करें; आप वैश्विक Python के अंतर्गत केवल एक पैकेज अपडेट नहीं कर सकते                                                                                               |
| pip                 | 26.2.2 या नया संस्करण                                                 | पुराने वर्चुअल वातावरण में pip को अलग से अपडेट करें और नया वातावरण बनने के बाद संस्करण की समीक्षा करें                                                                                                     |
| uv                  | 0.13.4 या नया संस्करण                                                 | टूल की एक प्रति अपडेट करें क्योंकि यह वास्तव में इंस्टॉल किया गया था                                                                                                                                       |
| Go                  | 1.27.3 या 1.26.10, संबंधित शाखा का अद्यतन संस्करण भी उपलब्ध है        | टूल श्रृंखला को अपडेट करने के बाद संबंधित प्रोग्राम को फिर से बनाएं और तैनात करें, या विक्रेता की मरम्मत बाइनरी प्राप्त करें                                                                               |
| Oracle JDK          | संबंधित समर्थित संस्करण लाइनों के लिए Critical पैच                    | विभिन्न JDK प्रकाशक अपनी-अपनी घोषणाओं का पालन करते हैं; कोई एकल संस्करण संख्या नहीं है जो सभी Java रिलीज़ पर लागू हो                                                                                       |
| Cloudflare Tunnel   | cloudflared 2026.10.2 या नया संस्करण                                  | चल रही सेवाओं को अद्यतन करें; कंटेनर परिनियोजन के लिए छवि को बदलने और पुनः परिनियोजन की आवश्यकता होती है                                                                                                   |
| Cloudflare One／WARP | प्लेटफ़ॉर्म के अनुरूप निश्चित क्लाइंट संस्करण या अद्यतन स्थिर संस्करण | क्लाइंट-साइड और सर्वर-साइड उपायों की अलग-अलग पुष्टि की जाती है। विशिष्ट प्लेटफ़ॉर्म संस्करणों के लिए, परिशिष्ट [7](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-7) देखें |

Node, Python, Go, Oracle और Cloudflare के मूल निर्देश क्रमशः [13](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-13), [12](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-12), [14](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-14), [15](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-15) में उपलब्ध हैं। [7](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-7).

### Python स्वतंत्र प्रमाणपत्र डेटाबेस समस्या

Python अधिकारियों ने बताया कि पुराना pip सिस्टम ट्रस्ट और बिल्ट-इन certifi के संयोजन का उपयोग करेगा। बस सिस्टम सर्टिफिकेट स्टोर को संशोधित करना या pip में CA फ़ाइल जोड़ना विश्वसनीय रूप से इसके अंतर्निहित पुराने ट्रस्ट को बाहर नहीं कर सकता है। इसलिए, `PIP_CERT`, `REQUESTS_CA_BUNDLE` या `--cert` को पुराने pip के लिए सार्वभौमिक मरम्मत प्रतिस्थापन के रूप में उपयोग नहीं किया जा सकता है। [12](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-12)

अपडेट करने के बाद मौजूदा वर्चुअल वातावरण की जाँच करें। नव निर्मित परिवेशों में वास्तव में स्थापित pip संस्करण की भी जांच करें ताकि पुराने बूटस्ट्रैप घटक कमजोर टूल को दोबारा प्रस्तुत न करें। प्रारंभिक अपग्रेड के लिए, अन्य पैकेजों को अपडेट करने से पहले Python की सलाह में डाउनलोड स्रोतों और SHA-256 सत्यापन चरणों का पालन करें। [12](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-12)

### Go और अन्य संकलित कार्यक्रम

Go के समाधान ने `crypto/x509` के सत्यापन तर्क को बदल दिया। [14](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-14) परिनियोजन तंत्र के परिप्रेक्ष्य से, विकास मशीन पर कंपाइलर को अपडेट करने से पहले से तैनात बाइनरी फिर से नहीं लिखी जाएगी। नए कोड लेयर ब्लॉकिंग को प्राप्त करने के लिए, एप्लिकेशन को फिर से बनाया जाना चाहिए और प्रतिस्थापित किया जाना चाहिए, या विक्रेता द्वारा प्रदान किए गए एक अद्यतन संस्करण का उपयोग किया जाना चाहिए। कोई पुराना प्रोग्राम भी सिस्टम रूट अपडेट से लाभान्वित हो सकता है या नहीं, यह उसके द्वारा उपयोग किए जाने वाले वास्तविक सत्यापन पथ पर निर्भर करता है।

### कंटेनर और पैकेज्ड एप्लिकेशन

कंटेनर में सिस्टम प्रमाणपत्र पैकेज, एप्लिकेशन निर्भरता और रनटाइम आमतौर पर छवि सामग्री द्वारा निर्धारित किया जाता है। होस्ट अद्यतन छवि सामग्री अद्यतन के बराबर नहीं है; मूल छवि और निर्भरता को अद्यतन करने की आवश्यकता है, और वास्तविक चल रहे उदाहरण को फिर से बनाने, तैनात करने और जांचने की आवश्यकता है। पैकेज्ड एप्लिकेशन और डेस्कटॉप प्रोग्राम जो अपने स्वयं के रनटाइम के साथ आते हैं, उन्हें भी विक्रेता रिलीज़ चैनल के अनुसार अपडेट किया जाना चाहिए। [7](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-7)[10](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-10)

## 6 मरम्मत कार्यान्वयन निर्देश

### पहले निरीक्षण वस्तु का निर्धारण करें

जिन सेवाओं को संरक्षित करने की आवश्यकता है, उनके लिए निम्नलिखित जानकारी रिकॉर्ड करने और फिर संबंधित मरम्मत पथ का चयन करने की अनुशंसा की जाती है। यह एक परिनियोजन चेकलिस्ट है और इसके लिए प्रत्येक सिस्टम पर सभी घटकों की उपस्थिति की आवश्यकता नहीं है।

| प्रोजेक्ट                 | क्या रिकार्ड करने की जरूरत है                                                                      |
| ------------------------- | -------------------------------------------------------------------------------------------------- |
| अनुप्रयोग और उपयोग        | ब्राउज़र, भुगतान API क्लाइंट, ईमेल भेजने की सेवा, डाउनलोड टूल, रिवर्स प्रॉक्सी, आदि।               |
| परिचालन स्थिति            | होस्ट, कंटेनर, वर्चुअल मशीन, डेस्कटॉप एप्लिकेशन या मोबाइल डिवाइस                                   |
| कार्यान्वयन सत्यापित करें | ऑपरेटिंग सिस्टम सत्यापनकर्ता, OpenSSL, Node, Python लाइब्रेरी, Java या एप्लिकेशन कस्टम कार्यान्वयन |
| विश्वसनीय स्रोत           | सिस्टम CA पैकेज, certifi, JDK ट्रस्ट स्टोर, अंतर्निहित CA bundle या एंटरप्राइज़ कॉन्फ़िगरेशन       |
| मरम्मत की स्थिति          | स्थापित संस्करण, पैच स्रोत, पुनः आरंभ करना है या पुनः तैनात करना है                                |
| स्वीकृति परिणाम           | क्या प्रभावित श्रृंखला अस्वीकार कर दी गई है, क्या सामान्य व्यावसायिक कनेक्शन सफल है, और चेक का समय |

Cloudflare के लिए डेवलपर गाइड विशेष रूप से बताता है कि SDK सत्यापन को अन्य घटकों को सौंप सकता है; केवल शीर्ष-स्तरीय SDK को अपडेट करने से वास्तविक विश्वास नीति में बदलाव नहीं होता है। [7](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-7)

### ऑपरेटिंग सिस्टम और ब्राउज़र

**Windows:** स्वचालित प्रमाणपत्र ट्रस्ट सूची अपडेट को सक्षम और सत्यापित करें। स्थापित प्रबंधन नीतियों के माध्यम से अपडेट वितरित करें। ऑफ़लाइन डिवाइस या स्वचालित अपडेट अक्षम वाले डिवाइस को उचित प्रबंधन प्रक्रिया के माध्यम से ब्लॉक लागू करने की आवश्यकता होती है। उन प्रोग्रामों की जांच करें जो Windows सिस्टम सत्यापन का अलग से उपयोग नहीं करते हैं। [4](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-4)

**Apple प्लेटफ़ॉर्म:** पूर्ण सिस्टम, सुरक्षा घटक और एप्लिकेशन अपडेट। macOS पर विकास टूल के लिए, इसके TLS बैकएंड, प्रमाणपत्र फ़ाइलें और इंस्टॉलेशन स्रोत भी जांचें। यह नहीं आंका जा सकता कि पूरी मशीन की मरम्मत सिर्फ इसलिए की गई है क्योंकि Safari ने परीक्षण श्रृंखला को अस्वीकार कर दिया है। [4](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-4)

**Android:** उन उपकरणों पर Google Play सेवाओं को अपडेट करें जिनके पास यह है। Google बताता है कि डिवाइस को पुनरारंभ करने से तत्काल अपडेट ट्रिगर हो सकता है। उन सेवाओं के बिना उपकरणों के लिए, विक्रेता या ROM सलाह का पालन करें; Google का कवरेज विवरण स्वचालित रूप से प्रत्येक Android डिवाइस पर लागू नहीं होता है। [1](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-1)

**Ubuntu/Debian:** समर्थित रिपॉजिटरी से प्रमाणपत्र पैकेज अपडेट करें और स्थापित वितरण के लिए सलाह की जांच करें। उदाहरण के लिए, एक APT-आधारित सिस्टम इसका उपयोग कर सकता है:

```bash
sudo apt update
sudo apt install --only-upgrade ca-certificates
dpkg-query -W -f='${Package} ${Version}\n' ca-certificates
```

Ubuntu 22.04, 24.04, 26.04, और 26.10 के लिए प्रासंगिक अपडेट मानक समर्थन हैं; पुराने संस्करणों को ESM समर्थन और वेयरहाउस स्थिति की जांच करनी चाहिए। कमांड सफलतापूर्वक समाप्त होने के बाद भी आपको बुलेटिन में फिक्स पैक संस्करण की तुलना करनी चाहिए। [8](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-8)[9](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-9)

**RHEL और संबंधित उत्पाद:** उत्पाद चैनल द्वारा प्रमाणपत्र पैकेज और सुरक्षा इरेटा की जाँच करें। संस्करण जाँच का उपयोग करके किया जा सकता है:

```bash
rpm -q ca-certificates
```

विक्रेता पैच प्राप्त करने के लिए समर्थित DNF/YUM अद्यतन तंत्र का उपयोग करें; यदि चैनल ने अभी तक कोई सुधार प्रदान नहीं किया है, तो "कोई अद्यतन करने योग्य पैकेज नहीं" को सुरक्षित न मानें। जब रूट ट्रस्ट को अस्थायी रूप से हटाना आवश्यक हो, तो निर्माता द्वारा स्पष्ट रूप से सूचीबद्ध उपायों को अपनाएं और वैध व्यवसाय प्रमाणपत्रों की अनुकूलता का मूल्यांकन करें। [10](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-10)

**FreeBSD:** आधिकारिक सलाह के अनुसार संबंधित सिस्टम शाखा को अपडेट करें, फिर प्रभावित OpenSSL ट्रस्ट कॉन्फ़िगरेशन का उपयोग करके डेमॉन को पुनरारंभ करें या सिस्टम को रीबूट करें। [11](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-11)

### अनुप्रयोग और छवियाँ

संबंधित रनटाइम और प्रमाणपत्र निर्भरता अद्यतनों को पूरा करने के बाद, निष्पादन योग्य फ़ाइल पथ की जांच करें जहां सेवा वास्तव में चल रही है ताकि इससे बचा जा सके कि टर्मिनल एक नए संस्करण में स्विच हो गया है और डेमॉन अभी भी पुरानी स्थापना निर्देशिका का उपयोग करता है। बहु-पर्यावरण Python, सेवा कंटेनरों और अनुप्रयोगों के लिए जो अपने स्वयं के रनटाइम के साथ आते हैं, उन्हें अलग से जांचा जाना चाहिए।

उन घटकों के लिए जिन्हें पुनर्निर्माण की आवश्यकता है, बिल्ड संस्करण, निर्भरता संस्करण और परिनियोजन छवि आईडी सहेजें। स्वीकृति ऑब्जेक्ट वास्तविक चल रहा उदाहरण है और केवल बिल्ड मशीन या छवि रजिस्ट्री में नए टैग की जांच नहीं कर सकता है। [7](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-7)[12](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-12)[14](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-14)

### वेबसाइट प्रमाणपत्र माइग्रेशन

यदि किसी वेबसाइट की श्रृंखला में एक निरस्त या अवरुद्ध मध्यवर्ती CA शामिल है, या अंततः एक अविश्वसनीय रूट पर निर्भर है, तो एक और श्रृंखला प्राप्त करें जिसे ग्राहक अभी भी स्वीकार करते हैं। संपूर्ण सर्वर प्रमाणपत्र श्रृंखला स्थापित करें और लोड बैलेंसर्स, रिवर्स प्रॉक्सी, CDN एंडपॉइंट और सीधे पहुंच योग्य मूल सहित प्रत्येक प्रवेश की जांच करें। [1](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-1)[5](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-5)

प्रवासन की आवश्यकता है या नहीं यह वास्तविक श्रृंखला पर आधारित है। केवल प्रमाणपत्र बिक्री ब्रांड द्वारा फ़िल्टर करने से पुनर्विक्रय या क्रॉस-साइनिंग संबंध छूट सकते हैं; केवल नियमित समाप्ति नवीनीकरण की प्रतीक्षा करने से जरूरी नहीं कि रूट स्टोर अपडेट होने से पहले माइग्रेशन पूरा हो जाए।

CA द्वारा जारी अन्य सामान्य वेबसाइट प्रमाणपत्रों के लिए जो प्रभावित रूट पर निर्भर नहीं हैं, इस घटना के कारण उन पर दोबारा हस्ताक्षर करने की कोई आवश्यकता नहीं है। साथ ही, बाहरी सेवाओं को कॉल करते समय वेबसाइट सर्वर को अभी भी क्लाइंट-साइड मरम्मत जांच करनी चाहिए।

## 7 सत्यापित करें कि सुधार वास्तव में प्रभावी होता है

### संस्करण जाँच और व्यवहार जाँच अलग-अलग की जाती है

संस्करण जांच का उपयोग यह पुष्टि करने के लिए किया जाता है कि पैच या निश्चित घटकों को तैनात किया गया है; व्यवहारिक जांच का उपयोग यह पुष्टि करने के लिए किया जाता है कि एप्लिकेशन वास्तव में अपेक्षित सत्यापन पथ का उपयोग करता है। दोनों जाँचें अलग-अलग समस्याओं का समाधान करती हैं, और उनमें से किसी को भी "अपडेट कमांड सफलतापूर्वक निष्पादित" द्वारा प्रतिस्थापित नहीं किया जा सकता है।

इवेंट अनुरक्षक परीक्षण स्थल और प्रमाणपत्र श्रृंखला सामग्री प्रदान करता है, और प्रवेश द्वार परिशिष्ट [4](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-4) में केंद्रित है। इसे सामान्य प्रमाणपत्र सत्यापन कॉन्फ़िगरेशन को बनाए रखते हुए, लक्ष्य एप्लिकेशन के वास्तविक ऑपरेटिंग वातावरण में सत्यापित किया जाना चाहिए। [4](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-4)[7](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-7)

| परिणाम जांचें                                                                    | जो निष्कर्ष निकाले जा सकते हैं                                                                      |
| -------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------- |
| स्पष्ट रूप से अस्वीकार करें क्योंकि प्रभावित श्रृंखला पर भरोसा नहीं किया जाता है | इंगित करता है कि परीक्षण किए जा रहे सत्यापन पथ ने श्रृंखला को अस्वीकार कर दिया है                   |
| प्रभावित श्रृंखला को सामान्य रूप से स्वीकार करें                                 | इंगित करता है कि इस पथ की मरम्मत जारी रखने या कॉन्फ़िगरेशन की जाँच करने की आवश्यकता है।             |
| DNS त्रुटि, कनेक्शन टाइमआउट, प्रॉक्सी अस्वीकृति या सेवा पहुंच योग्य नहीं है      | इसके आधार पर यह निष्कर्ष नहीं निकाला जा सकता कि प्रमाणपत्र जोखिम समाप्त हो गया है।                  |
| ब्राउज़र अस्वीकार कर देता है, लेकिन ऐप कॉल की जाँच नहीं की जाती है               | यह केवल ब्राउज़र की पुष्टि कर सकता है, बैकग्राउंड प्रोग्राम की नहीं।                                |
| A श्रृंखला अस्वीकार कर दी गई                                                     | अभी भी इस पर विचार करने की आवश्यकता है कि क्या ग्राहक किसी अन्य क्रॉस-साइनिंग पथ को स्वीकार करता है |

परीक्षण में सामान्य व्यावसायिक कनेक्शनों को भी शामिल किया जाना चाहिए ताकि सभी अनुरोध विफलताओं को व्यावसायिक विफलताओं के बाद सफल मरम्मत के रूप में समझने से बचा जा सके जो बहुत अधिक विश्वास को हटाने के कारण होती हैं।

### पूर्णता की सुझाई गई शर्तें

- प्रभावित घटकों के अद्यतन स्रोत और संस्करण का दस्तावेज़ीकरण किया गया है।
- संबंधित चल रहे इंस्टेंस को पुनः प्रारंभ, पुनर्निर्मित या पुन: नियोजित किया गया है।
- वास्तविक एप्लिकेशन प्रभावित श्रृंखला को अस्वीकार कर देता है, और सामान्य व्यवसाय के लिए TLS सत्यापन काम करना जारी रखता है।
- कनेक्शन को पुनर्स्थापित करने के लिए प्रमाणपत्र सत्यापन को अस्थायी रूप से बंद करने के लिए कोई कॉन्फ़िगरेशन नहीं है।
- यदि वेबसाइट प्रमाणपत्र माइग्रेशन शामिल है, तो सभी बाहरी प्रवेश द्वारों को स्विच और सत्यापित कर दिया गया है।

उपरोक्त पूर्णता शर्तें इस निपटान के लिए संचालन और रखरखाव की स्वीकृति के लिए सुझाव हैं; यह साबित करने के बराबर नहीं है कि उपकरण में कोई अन्य सुरक्षा समस्या नहीं है।

## 8 ऐतिहासिक HTTPS यातायात और जोखिम सीमाएँ

### तीन प्रकार की कुंजियों का अलग-अलग उपयोग होता है

| कुंजी              | मुख्य उद्देश्य                                                     |
| ------------------ | ------------------------------------------------------------------ |
| CA निजी कुंजी      | प्रमाणपत्र में पहचान और सार्वजनिक कुंजी बाइंडिंग पर हस्ताक्षर करें |
| वेबसाइट निजी कुंजी | प्रमाणपत्र प्रमाणित TLS हैंडशेक में सर्वर पहचान साबित करें         |
| सत्र कुंजी         | किसी कनेक्शन पर वास्तव में प्रसारित डेटा को सुरक्षित रखें          |

CA निजी कुंजी प्राप्त करना वेबसाइट निजी कुंजी या सभी सत्र कुंजी प्राप्त करने के बराबर नहीं है। A अस्थायी कुंजी एक्सचेंज का उपयोग करके फॉरवर्ड गोपनीयता के साथ सामान्य कनेक्शन स्वचालित रूप से ऐतिहासिक सत्रों को उजागर नहीं करेगा क्योंकि दीर्घकालिक हस्ताक्षर कुंजी बाद में समझौता हो गई है। TLS 1.3 की प्रासंगिक सुरक्षा विशेषताओं के लिए, RFC 8446 देखें। [16](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-16)

इस बार मुख्य जोखिम प्रमाणीकरण चरण के दौरान होता है: यदि ग्राहक नकली सर्वर के प्रमाणपत्र को स्वीकार करता है, तो वह हमलावर के साथ एक कनेक्शन स्थापित कर सकता है जो अभी भी एन्क्रिप्टेड है। TLS 1.3 को भी विश्वसनीय प्रमाणीकरण की आवश्यकता है; केवल प्रोटोकॉल संस्करण को अपग्रेड करना CA को ब्लॉक करने का विकल्प नहीं है।

### ऐसे निर्णय जो वर्तमान में किए जा सकते हैं और नहीं भी दिए जा सकते हैं

**पुष्टि की गई:** विशिष्ट मध्यवर्ती CA निजी कुंजी से समझौता किया गया है; प्रभावित सार्वजनिक विश्वास मार्गों की व्यापक पहुंच है; प्रमुख प्लेटफार्मों और कई सॉफ्टवेयर पारिस्थितिकी प्रणालियों ने कार्रवाई की है। [1](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-1)[4](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-4)[5](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-5)

**इस घटना से यह स्थापित नहीं हुआ:** कि सभी उपयोगकर्ताओं ने मैन-इन-द-मिडिल हमलों का अनुभव किया है, कि अन्य CA निजी कुंजी से समझौता किया गया है, कि सभी ऐतिहासिक HTTPS ट्रैफ़िक डिक्रिप्ट करने योग्य है, या कि एक ब्राउज़र को अपडेट करने से डिवाइस पर हर एप्लिकेशन की सुरक्षा होती है।

किसी विशिष्ट सेवा के बारे में अंतिम निर्णय उसकी प्रमाणपत्र श्रृंखला, सत्यापन नीति, वास्तविक चल रहे घटकों और अद्यतन स्थिति पर आधारित होना चाहिए, न कि केवल पता बार HTTPS पढ़ता है या नहीं।

## परिशिष्ट A प्रभावित मध्यवर्ती CA नाम

निम्नलिखित नाम संपत्ति की जाँच में सहायता करते हैं। नाम प्रमाणपत्र फ़िंगरप्रिंट या सार्वजनिक-कुंजी पहचानकर्ताओं को प्रतिस्थापित नहीं करते हैं। स्वचालित मिलान में क्रॉस-हस्ताक्षरित प्रमाणपत्रों सहित घटना अनुरक्षकों या विक्रेताओं द्वारा प्रकाशित सटीक पहचानकर्ताओं का उपयोग करना चाहिए। [5](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-5)

| मध्य CA            | प्रयोजन          | संबद्ध संगठन |
| ------------------ | ---------------- | ------------ |
| EM EV TLS CA - G3B | TLS              | eMudhra BV   |
| EM OV TLS CA - G3B | TLS              | eMudhra BV   |
| EM DV TLS CA - G3B | TLS              | eMudhra BV   |
| EM EV TLS CA - G3C | TLS              | eMudhra Inc  |
| EM OV TLS CA - G3C | TLS              | eMudhra Inc  |
| EM DV TLS CA - G3C | TLS              | eMudhra Inc  |
| EM OV CS CA - G3B  | कोड पर हस्ताक्षर | eMudhra BV   |
| EM OV CS CA - G3C  | कोड पर हस्ताक्षर | eMudhra Inc  |

TLS बिल्कुल कोड हस्ताक्षर के समान सत्यापनकर्ता और निरस्तीकरण तंत्र नहीं है। इस लेख का फोकस HTTPS/TLS है; इस सत्यापन उद्देश्य के लिए कोड हस्ताक्षर वातावरण को Microsoft, JDK या संबंधित सॉफ़्टवेयर विक्रेताओं को अपनाना चाहिए, और ब्राउज़र परीक्षण परिणामों को कोड हस्ताक्षर स्वीकृति के रूप में नहीं माना जाना चाहिए। [5](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-5)[15](https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide#source-15)

## परिशिष्ट B संदर्भ लिंक

निम्नलिखित स्रोतों को 22 अक्टूबर, 2026 को सत्यापित किया गया था। रोलिंग घोषणा को अद्यतन किया जाना जारी रखा जा सकता है, और पाठ में स्थिति और संस्करण को इस दस्तावेज़ की तारीख के आधार पर समझा जाना चाहिए।

### घटना के तथ्य और मंच संचालन

**\[1] Google Chrome और Android आधिकारिक घोषणा** निजी कुंजी दोषों, SPKI अवरोधन, Google Play सेवा वितरण, CT सुरक्षा, और Chrome रूट रिपोजिटरी हटाने की योजना का वर्णन करता है। [Protecting Chrome and Android Users from Compromised eMudhra Intermediate CA Certificates](https://blog.google/security/protecting-chrome-and-android-users-from-compromised-emudhra-intermediate-ca-certificates/)

**\[2] Mozilla Bugzilla 2083449 इवेंट रिकॉर्ड** इसमें मूल रिपोर्ट, स्वतंत्र सत्यापन, पीढ़ी प्रक्रिया जांच, Firefox Android के लिए बाद के सुधार और कानूनी प्रमाणपत्र माइग्रेशन चर्चाएं शामिल हैं; टिप्पणियों 5, 11, 29 और 30 पर ध्यान दें। [eMudhra Private key compromise of Intermediate Certificates](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449)

**\[3] Mozilla Firefox सुरक्षा नोटिस** OneCRL आपातकालीन वितरण और उसके बाद Firefox/NSS निपटान का विवरण। [Protecting Firefox users following the compromise of eMudhra intermediate certificates](https://blog.mozilla.org/security/2026/10/20/protecting-firefox-users-following-the-compromise-of-emudhra-intermediate-certificates/)

**\[4] इवेंट समन्वयक Dennis Jackson रखरखाव सारांश और पहचान पोर्टल** प्लेटफ़ॉर्म और सॉफ़्टवेयर मरम्मत की स्थिति, परीक्षण प्रवेश, सार्वजनिक प्रमाणपत्र श्रृंखला सामग्री और Windows/macOS जैसे वातावरण पर पूरक निर्देश प्रदान करता है। परीक्षण के परिणाम केवल परीक्षण किए गए वास्तविक सत्यापन पथ दर्शाते हैं। [eMudhra Intermediate CA Compromise](https://emudhra.we-have-a-problem.com/)

**\[5] Mozilla वितरण और ट्रस्टस्टोर रखरखावकर्ताओं को नोटिस** 6 TLS और 2 कोड हस्ताक्षर मध्यवर्ती CA, Sectigo क्रॉस-साइनिंग, निरस्तीकरण और रूट ट्रस्ट प्रोसेसिंग सीमाओं का वर्णन करता है, और सटीक प्रमाणपत्र और सार्वजनिक कुंजी पहचान सूचीबद्ध करता है। [oss-security eMudhra Intermediates Compromise](https://www.openwall.com/lists/oss-security/2026/10/20/1)

**\[6] eMudhra आधिकारिक कार्यक्रम विवरण** कुंजी उत्पादन प्रक्रिया के बारे में निर्माता को प्रारंभिक स्पष्टीकरण प्रदान करें; सटीक मूल कारण अभी भी पूर्ण जांच के निष्कर्ष के अधीन होगा। [eMudhra Statement on Recent Certificate Security Incident](https://emudhra.com/en/post/certificate-security-incident)

**\[7] Cloudflare आधिकारिक घटना और मरम्मत निर्देश** WARP, Cloudflare Tunnel, मूल साइट सत्यापन, रनटाइम निर्भरता, छवि अपडेट और सत्यापन विधियां शामिल हैं। [8 eMudhra certificates are compromised Here is what you need to know](https://blog.cloudflare.com/emudhra-certificate-compromise/)

### ऑपरेटिंग सिस्टम और वितरण

**\[8] Ubuntu आधिकारिक मरम्मत घोषणा** प्रत्येक संस्करण के लिए ca-certificates फिक्स पैकेज, समर्थन चैनल और लक्षित अद्यतन चरणों को सूचीबद्ध करता है। [eMudhra CA compromise fixes available](https://ubuntu.com/blog/emudhra-ca-compromise-fixes-available)

**\[9] Debian आधिकारिक समस्या और मरम्मत रिकॉर्ड** अनुरक्षक के फिक्स रिकॉर्ड और संबंधित रिलीज़ पैकेज को मानक के रूप में लिया जाना चाहिए, और समस्या चर्चा में शुरुआती अस्थायी सुझावों को अंतिम समाधान नहीं माना जाना चाहिए। [Debian bug 1151413 eMudhra Intermediate CA key compromise](https://bugs.debian.org/1151413)

**\[10] Red Hat आधिकारिक सुरक्षा बुलेटिन RHSB 2026 012** RHEL 6 से 10 तक, संबंधित उत्पाद और कंटेनर प्रभावों को सूचीबद्ध करता है, और रिलीज और अंतरिम निपटान प्रविष्टियों को ठीक करता है। [Certificate compromise eMudhra](https://access.redhat.com/security/vulnerabilities/RHSB-2026-012)

**\[11] FreeBSD आधिकारिक सुरक्षा बुलेटिन** प्रभावित सिस्टम शाखाएँ, मरम्मत संस्करण और सेवा पुनरारंभ आवश्यकताएँ प्रदान करें। [FreeBSD SA 26 73 caroot](https://www.freebsd.org/security/advisories/FreeBSD-SA-26:73.caroot.asc)

### रनटाइम और प्रोटोकॉल

**\[12] Python आधिकारिक कार्यक्रम विवरण** pip, certifi, uv, आदि के लिए मरम्मत बेसलाइन प्रदान करता है, पुराने pip स्वतंत्र ट्रस्ट स्टोर की समस्या बताता है, और SHA-256 सत्यापन के साथ प्रारंभिक अपग्रेड विधि प्रदान करता है। [Information for Python users regarding eMudhra emSign CA certificate security incident](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576)

**\[13] Node.js 24.22.1 आधिकारिक रिलीज़** इसमें NSS रूट स्टोर अपडेट शामिल हैं और अवरुद्ध सार्वजनिक कुंजी प्रमाणपत्र श्रृंखला वाले परिवर्तनों को अस्वीकार करता है। [Node.js 24.22.1 security release](https://github.com/nodejs/node/releases/tag/v24.22.1)

**\[14] Go आधिकारिक सुरक्षा रिलीज़** विवरण Go 1.27.3/1.26.10. के लिए crypto/x509 प्रमाणपत्र श्रृंखला फ़िल्टरिंग अद्यतन [Go 1.27.3 and Go 1.26.10 are released](https://groups.google.com/g/golang-announce/c/66pojueaQek)

**\[15] Oracle JDK आधिकारिक निपटान निर्देश** जब इसे तुरंत अपग्रेड नहीं किया जा सकता तो JDK महत्वपूर्ण पैच और संबंधित कॉन्फ़िगरेशन उपायों की व्याख्या करें। [Distrusting eMudhra Intermediate Certificates in Oracle JDK](https://ops.java/emudhra)

**\[16] TLS 1.3 प्रोटोकॉल मानक RFC 8446** पहचान प्रमाणीकरण, अस्थायी कुंजी विनिमय और आगे की गोपनीयता पर निर्देशों के लिए परिशिष्ट E.1 देखें। [The Transport Layer Security Protocol Version 1.3](https://www.rfc-editor.org/rfc/rfc8446.html)

**\[17] इवेंट-संबंधित रूट प्रमाणपत्र और जारी करने का संबंध डेटा** प्रत्यक्ष जारीकर्ता और क्रॉस-साइनिंग संबंध को समझने के लिए उपयोग किया जाता है; रूट स्टोर समावेशन स्थिति क्लाइंट की नवीनतम निरस्तीकरण या अवरोधन स्थिति को प्रतिस्थापित नहीं कर सकती है। [Root certificate relationships JSON](https://emudhra.we-have-a-problem.com/roots.json)

## सुरक्षा रखरखाव परामर्श

अनिश्चित हैं कि प्रमाणपत्र विश्वास परिवर्तन आपके सिस्टम को कैसे प्रभावित करते हैं? हम प्रभावित ग्राहकों का आकलन करने और सुरक्षा अपडेट की योजना बनाने में मदद कर सकते हैं।

[सुरक्षा अद्यतन पर चर्चा करें](<https://keendigit.com/hi/contact?service=security-remediation#form>)

[मूल पृष्ठ](<https://keendigit.com/hi/insights/emudhra-ca-incident-remediation-guide>) · [सामग्री सूचकांक](<https://keendigit.com/hi/llms.txt>)

KeenDigit LLC · व्योमिंग फाइलिंग आईडी: 2026-002106155

[व्योमिंग राज्य सचिव से सत्यापित करें](<https://wyobiz.wyo.gov/Business/filingSearch.aspx>)

© 2026 KeenDigit LLC · शेरिडन, व्योमिंग, यूएसए · सर्वाधिकार सुरक्षित.