eMudhra ਇੰਟਰਮੀਡੀਏਟ CA ਸਮਝੌਤਾ: ਪ੍ਰਭਾਵ ਅਤੇ ਉਪਚਾਰ ਗਾਈਡ

ਸਰੋਤਾਂ ਨੇ 22 ਅਕਤੂਬਰ 2026 ਨੂੰ ਬੀਜਿੰਗ ਦੇ ਸਮੇਂ ਦੀ ਜਾਂਚ ਕੀਤੀ। Audience: ਵਿਅਕਤੀਗਤ ਉਪਭੋਗਤਾ, ਵੈੱਬਸਾਈਟ ਆਪਰੇਟਰ, ਡਿਵੈਲਪਰ, ਅਤੇ ਸਿਸਟਮ ਪ੍ਰਸ਼ਾਸਕ।

ਗੰਭੀਰ ਕਮਜ਼ੋਰੀਆਂ ਨੇ eMudhra/emSign ਇੰਟਰਮੀਡੀਏਟ CA ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀਆਂ ਦੇ ਇੱਕ ਸਮੂਹ ਨੂੰ ਮੁੜ ਪ੍ਰਾਪਤ ਕਰਨ ਯੋਗ ਬਣਾਇਆ ਹੈ। ਇਹ ਉਹਨਾਂ ਗਾਹਕਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦਾ ਹੈ ਜੋ ਵੈੱਬਸਾਈਟਾਂ, API ਅਤੇ ਸੌਫਟਵੇਅਰ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰਨ ਲਈ ਜਨਤਕ ਸਰਟੀਫਿਕੇਟ ਸਿਸਟਮ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ। ਜਨਤਕ ਵਿਸ਼ਵਾਸ ਵੱਡੇ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮਾਂ ਨੂੰ ਫੈਲਾਉਂਦਾ ਹੈ, ਪਰ ਸਮਝੌਤਾ ਕੀਤੀਆਂ ਕੁੰਜੀਆਂ ਦਾ ਸੈੱਟ ਅਤੇ ਸੰਭਾਵੀ ਕਲਾਇੰਟ ਪ੍ਰਭਾਵ ਵੱਖ-ਵੱਖ ਸਕੋਪ ਹਨ। 1 5

ਮੁੱਖ ਟੈਕਸਟ ਅਨੁਸਾਰੀ ਸਰੋਤਾਂ ਦੀ ਸੰਖਿਆ ਲਈ ਵਰਗ ਬਰੈਕਟਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਅਤੇ ਸਾਰੇ ਬਾਹਰੀ ਸੰਦਰਭ ਲਿੰਕ ਅੰਤਿਕਾ ਵਿੱਚ ਸੂਚੀਬੱਧ ਕੀਤੇ ਗਏ ਹਨ। ਸੂਚੀਬੱਧ ਸੰਸਕਰਣ ਪੁਸ਼ਟੀਕਰਣ ਮਿਤੀ ਦੇ ਅਨੁਸਾਰ ਇਸ ਘਟਨਾ ਲਈ ਫਿਕਸ ਰੱਖਣ ਲਈ ਪੁਸ਼ਟੀ ਕੀਤੀ ਗਈ ਸੰਸਕਰਣ ਬੇਸਲਾਈਨ ਹੈ। ਤੈਨਾਤ ਕਰਦੇ ਸਮੇਂ, ਉਸੇ ਸਮਰਥਿਤ ਸ਼ਾਖਾ ਵਿੱਚ ਅੱਪਡੇਟ ਕੀਤੇ ਸਥਿਰ ਸੰਸਕਰਣ ਨੂੰ ਤਰਜੀਹ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ।

TL;DR

Eight ਇੰਟਰਮੀਡੀਏਟ CA ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀਆਂ ਨਾਲ ਸਮਝੌਤਾ ਕੀਤਾ ਗਿਆ ਹੈ। ਮੌਜੂਦਾ ਰਿਪੋਰਟਾਂ ਇਹ ਸਥਾਪਿਤ ਨਹੀਂ ਕਰਦੀਆਂ ਹਨ ਕਿ ਰੂਟ ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀਆਂ ਜਾਂ HTTPS ਕ੍ਰਿਪਟੋਗ੍ਰਾਫੀ ਆਮ ਤੌਰ ‘ਤੇ ਟੁੱਟ ਗਈ ਹੈ। ਅੱਪਡੇਟ ਜਨਤਕ ਟਰੱਸਟ ਈਕੋਸਿਸਟਮ ਦੇ ਬਹੁਤ ਸਾਰੇ ਹਿੱਸੇ ਨੂੰ ਫੈਲਾਉਂਦੇ ਹਨ; ਬਕਾਇਆ ਖਤਰਾ ਅਸਲ ਐਪਲੀਕੇਸ਼ਨ ‘ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ।1 5

ਵਿਅਕਤੀਗਤ ਉਪਭੋਗਤਾ: ਅੱਪਡੇਟ ਬ੍ਰਾਊਜ਼ਰ, ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ, ਅਤੇ ਸੁਰੱਖਿਆ ਹਿੱਸੇ। Android ‘ਤੇ, Google Play ਸੇਵਾਵਾਂ ਨੂੰ ਵੀ ਅੱਪਡੇਟ ਕਰੋ। Firefox Android 158.0.2 ਜਾਂ ਬਾਅਦ ਦੀ ਵਰਤੋਂ ਕਰੋ। 1 2
Servers: ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨ ਦੇ ca-certificates/NSS ਪੈਕੇਜਾਂ ਨੂੰ ਅੱਪਡੇਟ ਕਰੋ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ-ਬੰਡਲਡ ਟਰੱਸਟ ਸਟੋਰਾਂ ਦੀ ਜਾਂਚ ਕਰੋ। ਸਿਰਫ਼ ਹੋਸਟ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨਾ ਨਾਕਾਫ਼ੀ ਹੈ। 7 8 10
ਵਿਕਾਸ ਵਾਤਾਵਰਨ: Node 24 ਨੂੰ 24.22.1 ਤੱਕ ਅੱਪਡੇਟ ਕਰੋ ਜਾਂ ਉਸ ਸ਼ਾਖਾ ਵਿੱਚ ਲਾਗੂ ਹੋਣ ਅਨੁਸਾਰ ਇੱਕ ਨਵੀਂ ਰਿਲੀਜ਼। Python ਵਾਤਾਵਰਨ ਵਿੱਚ, ਘੱਟੋ-ਘੱਟ pip 26.2.2, certifi 2026.10.19, ਅਤੇ uv 0.13.4 ਤੱਕ ਅੱਪਡੇਟ ਕਰੋ। ਸਥਿਰ Go ਬਾਈਨਰੀਆਂ ਪ੍ਰਾਪਤ ਕਰੋ ਜਾਂ ਉਹਨਾਂ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਓ; Java ਨੂੰ ਇਸਦੇ ਵਿਕਰੇਤਾ ਦੀ ਸਲਾਹ ਅਨੁਸਾਰ ਅਪਡੇਟ ਕਰੋ। 12–15
ਅਪਡੇਟਾਂ ਨੂੰ ਸਰਗਰਮ ਕਰੋ: ਪ੍ਰਭਾਵਿਤ ਸੇਵਾਵਾਂ ਨੂੰ ਮੁੜ ਚਾਲੂ ਕਰੋ ਅਤੇ ਕੰਟੇਨਰਾਂ ਨੂੰ ਮੁੜ-ਬਣਾਓ ਅਤੇ ਮੁੜ-ਤੈਨਾਤ ਕਰੋ। Cloudflare Tunnel ਲਈ, cloudflared ਨੂੰ 2026.10.2 ਜਾਂ ਬਾਅਦ ਵਿੱਚ ਅੱਪਡੇਟ ਕਰੋ। 7
ਵੈੱਬਸਾਈਟ ਪ੍ਰਮਾਣ-ਪੱਤਰ: ਕਿਸੇ ਪ੍ਰਭਾਵਿਤ ਚੇਨ ਨੂੰ ਬਦਲਦਾ ਹੈ ਜੇਕਰ ਇਸ ਵਿੱਚ ਇੱਕ ਰੱਦ ਕੀਤਾ ਜਾਂ ਬਲੌਕ ਕੀਤਾ ਵਿਚਕਾਰਲਾ CA ਹੈ, ਜਾਂ ਇੱਕ ਅਵਿਸ਼ਵਾਸੀ ਰੂਟ ‘ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ। ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਦੁਬਾਰਾ ਜਾਰੀ ਕਰਨਾ ਕਲਾਇੰਟ ਟਰੱਸਟ ਸਟੋਰਾਂ ਨੂੰ ਅਪਡੇਟ ਕਰਨ ਦੀ ਥਾਂ ਨਹੀਂ ਲੈਂਦਾ। 1 5 8
ਤਸਦੀਕ: ਹਰੇਕ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਅਸਲ TLS ਮਾਰਗ ਦੀ ਜਾਂਚ ਕਰੋ। ਸਰਟੀਫਿਕੇਟ ਅਸਵੀਕਾਰ ਨੂੰ ਸਮਾਂ ਸਮਾਪਤੀ ਅਤੇ DNS ਅਸਫਲਤਾਵਾਂ ਤੋਂ ਵੱਖ ਕਰੋ। ਸਰਟੀਫਿਕੇਟ ਤਸਦੀਕ ਨੂੰ ਸਮਰੱਥ ਰੱਖੋ; ਗਲਤੀਆਂ ਨੂੰ ਦਬਾਉਣ ਲਈ -k ਦੀ ਵਰਤੋਂ ਨਾ ਕਰੋ ਜਾਂ ਪੁਸ਼ਟੀਕਰਨ ਨੂੰ ਛੱਡੋ। 7

1 ਘਟਨਾ ਦੇ ਤੱਥ ਅਤੇ ਕਾਰਨ

ਪੁਸ਼ਟੀ ਕੀਤੇ ਤੱਥ

Mozilla ਅਤੇ Google ਨੇ ਅੱਠ eMudhra ਇੰਟਰਮੀਡੀਏਟ CA ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀਆਂ ਵਿੱਚ ਨੁਕਸ ਦੀ ਪੁਸ਼ਟੀ ਕੀਤੀ ਹੈ। ਖੋਜਕਰਤਾ ਨੇ ਪ੍ਰਾਈਵੇਟ-ਕੁੰਜੀ ਨਿਯੰਤਰਣ ਦਾ ਸਬੂਤ ਦਿੱਤਾ; Mozilla ਨੇ ਸੁਤੰਤਰ ਤੌਰ ‘ਤੇ ਕੁੰਜੀਆਂ ਮੁੜ ਪ੍ਰਾਪਤ ਕੀਤੀਆਂ ਅਤੇ ਮੁੱਦੇ ਨੂੰ ਦੁਬਾਰਾ ਤਿਆਰ ਕੀਤਾ। ਛੇ ਇੰਟਰਮੀਡੀਏਟ CA TLS ਅਤੇ ਦੋ ਸਰਵਿਸ ਕੋਡ ਸਾਈਨਿੰਗ ਦੀ ਸੇਵਾ ਕਰਦੇ ਹਨ। 2 5

ਨੁਕਸ ਉਤਪੰਨ ਕੀਤੀਆਂ ਕੁੰਜੀਆਂ ਵਿੱਚ ਹੈ: ਇਹ ਵਿਚਕਾਰਲੇ CAs P-384 ਕਰਵ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ, ਪਰ ਉਹਨਾਂ ਦੀਆਂ ਨਿੱਜੀ ਕੁੰਜੀਆਂ 256 ਤੋਂ ਘੱਟ ਪੂਰਨ ਅੰਕ ਹਨ। ਇਹ ਉਦੇਸ਼ਿਤ ਵੱਡੀ ਰੇਂਜ ਤੋਂ ਬੇਤਰਤੀਬੇ ਕੁੰਜੀਆਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਢੰਗ ਨਾਲ ਚੁਣਨ ਤੋਂ ਬਹੁਤ ਦੂਰ ਹੈ। ਇਹਨਾਂ ਕਮਜ਼ੋਰ ਕੁੰਜੀਆਂ ਨੂੰ ਮੁੜ ਪ੍ਰਾਪਤ ਕਰਨਾ ਇਹ ਨਹੀਂ ਦਰਸਾਉਂਦਾ ਹੈ ਕਿ ਸਹੀ ਢੰਗ ਨਾਲ ਤਿਆਰ ਕੀਤੀਆਂ P-384 ਕੁੰਜੀਆਂ ਨੂੰ ਤੋੜਿਆ ਜਾ ਸਕਦਾ ਹੈ। 2

ਇੱਥੇ “ਸਰਟੀਫਿਕੇਟ ਕ੍ਰੈਕ ਹੈ” ਨੂੰ ਸਹੀ ਤਰ੍ਹਾਂ ਸਮਝਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ ਕਿਉਂਕਿ “ਅਨੁਸਾਰੀ ਨਿਜੀ ਕੁੰਜੀ ਮੁੜ ਪ੍ਰਾਪਤ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ”। ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਇਸ ਵਿੱਚ ਜਨਤਕ ਕੁੰਜੀ ਕੁਦਰਤੀ ਤੌਰ ‘ਤੇ ਜਨਤਕ ਹਨ; ਜਿਸ ਚੀਜ਼ ਨੂੰ ਅਸਲ ਵਿੱਚ ਗੁਪਤ ਰੱਖਣ ਦੀ ਲੋੜ ਹੈ ਉਹ ਹੈ ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ ਜੋ ਇੱਕ ਵੈਧ ਹਸਤਾਖਰ ਤਿਆਰ ਕਰ ਸਕਦੀ ਹੈ।

ਮੁੱਖ-ਪੀੜ੍ਹੀ ਪ੍ਰਕਿਰਿਆ ਦੇ ਮੁੱਦੇ ਅਜੇ ਵੀ ਜਾਂਚ ਅਧੀਨ ਹਨ

eMudhra ਦਾ ਇੱਕ ਸ਼ੁਰੂਆਤੀ ਵਰਣਨ ਅਪ੍ਰੈਲ 2025 ਵਿੱਚ ਇੱਕ ਕੁੰਜੀ ਉਤਪੰਨ ਸਮਾਰੋਹ ਵਿੱਚ ਸਮੱਸਿਆ ਦਾ ਪਤਾ ਲਗਾਉਂਦਾ ਹੈ। ਵਿਆਖਿਆ ਵਿੱਚ ਇੱਕ ਮੁੱਖ ਇਨਕੈਪਸੂਲੇਸ਼ਨ ਅਤੇ ਡੀਕੈਪਸੂਲੇਸ਼ਨ ਪੜਾਅ ਸ਼ਾਮਲ ਹੁੰਦਾ ਹੈ: ਅਸਲੀ ਮਜ਼ਬੂਤ ਕੁੰਜੀ ਤੋਂ ਇਲਾਵਾ, ਕਮਜ਼ੋਰ ਕੁੰਜੀਆਂ ਦਾ ਇੱਕ ਹੋਰ ਸਮੂਹ ਦਿਖਾਈ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਕਮਜ਼ੋਰ ਕੁੰਜੀਆਂ ਨੂੰ ਬਾਅਦ ਵਿੱਚ ਸਰਟੀਫਿਕੇਟ ਐਪਲੀਕੇਸ਼ਨ ਅਤੇ ਜਾਰੀ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਕੰਪਨੀ ਨੇ ਅਜੇ ਵੀ ਕਿਹਾ ਕਿ ਸਹੀ ਜੜ੍ਹ ਕਾਰਨ ਨਿਰਣਾਇਕ ਤੌਰ ‘ਤੇ ਨਿਰਧਾਰਤ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ। 6

ਇਸ ਲਈ, ਕੀ ਨਿਰਧਾਰਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਕਿ ਇਹ ਕੁੰਜੀਆਂ ਗੰਭੀਰ ਤੌਰ ‘ਤੇ ਕਮਜ਼ੋਰ ਹਨ ਅਤੇ ਸਮਝੌਤਾ ਕੀਤੀਆਂ ਗਈਆਂ ਹਨ; ਅਸਫਲਤਾ ਨੂੰ HSM ਦੇ ਇੱਕ ਖਾਸ ਹਾਰਡਵੇਅਰ ਬੇਤਰਤੀਬ ਸੰਖਿਆ ਸਰੋਤ ਦੇ ਤੌਰ ਤੇ ਨੁਕਸਦਾਰ ਸਾਬਤ ਕੀਤਾ ਗਿਆ ਹੈ, ਨਾ ਹੀ ਇਸ ਨੂੰ RSA, ECC ਜਾਂ TLS ਦੀ ਇੱਕ ਆਮ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਸਫਲਤਾ ਵਜੋਂ ਵਰਣਨ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।

ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਅਵਿਸ਼ਵਾਸ ਦਾ ਕੀ ਅਰਥ ਹੈ?

ਬ੍ਰਾਊਜ਼ਰ ਜਾਂ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਪ੍ਰਭਾਵਿਤ ਇੰਟਰਮੀਡੀਏਟ CA ਦੇ ਸਰਟੀਫਿਕੇਟ ਜਾਂ ਜਨਤਕ ਕੁੰਜੀ ਨੂੰ ਸਿੱਧੇ ਤੌਰ ‘ਤੇ ਬਲੌਕ ਕਰ ਸਕਦਾ ਹੈ, ਜਾਂ ਇਹ ਉਹਨਾਂ ਵੱਲ ਜਾਣ ਵਾਲੇ ਰੂਟ ਟਰੱਸਟ ਨੂੰ ਹਟਾ ਸਕਦਾ ਹੈ। ਬਾਅਦ ਵਾਲਾ ਉਪਾਅ ਉਸੇ ਰੂਟ ਦੇ ਅਧੀਨ ਕੁਝ ਜਾਇਜ਼ ਸਰਟੀਫਿਕੇਟਾਂ ਨੂੰ ਵੀ ਰੱਦ ਕਰ ਦੇਵੇਗਾ।

Google ਨੇ Chrome ਰੂਟ ਸਟੋਰ ਦੇ ਉਹਨਾਂ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਬਚਾਉਣ ਲਈ emSign ECC Root CA - G3 ਨੂੰ ਹਟਾਉਣ ਦਾ ਸਮਾਂ ਨਿਯਤ ਕੀਤਾ ਹੈ ਜੋ CRLSet ਤੋਂ ਅੱਪਡੇਟ ਪ੍ਰਾਪਤ ਨਹੀਂ ਕਰਦੇ ਹਨ। ਰੂਟ ਸਟੋਰ ਹਟਾਉਣ ਨੂੰ ਅਕਤੂਬਰ 27th ਤੋਂ 28th, ਬੀਜਿੰਗ ਸਮੇਂ ਦੇ ਅਨੁਸਾਰੀ ਮਿਆਦ ਦੇ ਦੌਰਾਨ ਧੱਕੇ ਜਾਣ ਦੀ ਉਮੀਦ ਹੈ; Google ਦਾ ਅਸਲ ਸਮਾਂ 27 ਅਕਤੂਬਰ ਦੀ ਸਵੇਰ, ਯੂ.ਐੱਸ. ਪੈਸਿਫਿਕ ਡੇਲਾਈਟ ਟਾਈਮ ਹੈ। ਇਹ ਯੋਜਨਾ ਐਮਰਜੈਂਸੀ ਜਨਤਕ ਕੁੰਜੀ ਬਲਾਕਿੰਗ ਤੋਂ ਵੱਖਰੀ ਹੈ ਜੋ ਪਹਿਲਾਂ ਤੈਨਾਤ ਕੀਤੀ ਗਈ ਹੈ। 1

ਇੱਕ ਰੂਟ ‘ਤੇ ਭਰੋਸਾ ਕਰਨਾ ਇੱਕ ਜਵਾਬ ਮਾਪ ਹੈ; ਇਹ ਖੁਦ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ ਕਿ ਰੂਟ ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ ਨਾਲ ਸਮਝੌਤਾ ਕੀਤਾ ਗਿਆ ਸੀ।

2 ਸੰਭਾਵੀ ਪ੍ਰਭਾਵ ਜਨਤਕ ਟਰੱਸਟ ਈਕੋਸਿਸਟਮ ਨੂੰ ਕਿਉਂ ਫੈਲਾਉਂਦਾ ਹੈ

ਸਮਝੌਤਾ ਕੀਤੀਆਂ ਕੁੰਜੀਆਂ ਅਤੇ ਪ੍ਰਭਾਵਿਤ ਭਰੋਸੇਯੋਗ ਮਾਰਗ

ਨਿਰਣਾ ਵਸਤੂ	ਇਸ ਘਟਨਾ ਦਾ ਘੇਰਾ ਏ
ਸਮੱਸਿਆ ਵਾਲੀ ਕੁੰਜੀ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ	eMudhra ਲਈ 8 ਵਿਚਕਾਰਲੇ CA ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀਆਂ
ਪਲੇਟਫਾਰਮ ਜਿਨ੍ਹਾਂ ਨੂੰ ਕਾਰਵਾਈ ਦੀ ਲੋੜ ਹੋ ਸਕਦੀ ਹੈ	ਪਬਲਿਕ ਰੂਟ ਸਟੋਰ, ਬ੍ਰਾਊਜ਼ਰ, ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ, ਭਾਸ਼ਾ ਰਨਟਾਈਮ, ਸਾਫਟਵੇਅਰ ਪੈਕੇਜ ਅਤੇ ਕੰਟੇਨਰ ਈਕੋਸਿਸਟਮ
ਸੰਭਵ ਤੌਰ ‘ਤੇ ਨਕਲ ਕੀਤੀ ਪਛਾਣ TLS	ਗਾਹਕਾਂ ਦੁਆਰਾ ਵਿਜ਼ਿਟ ਕੀਤੀਆਂ ਵੈਬਸਾਈਟਾਂ ਜਾਂ ਸੇਵਾਵਾਂ ਜੋ ਅਜੇ ਵੀ ਸੰਬੰਧਿਤ ਜਾਅਲੀ ਸਰਟੀਫਿਕੇਟ ਚੇਨ ਨੂੰ ਸਵੀਕਾਰ ਕਰਦੀਆਂ ਹਨ
ਕੀ ਇਸਦਾ ਮਤਲਬ ਇਹ ਹੈ ਕਿ ਸਾਰੀਆਂ ਡਿਵਾਈਸਾਂ ਨਾਲ ਸਮਝੌਤਾ ਕੀਤਾ ਗਿਆ ਹੈ?	ਨਹੀਂ; ਭਰੋਸੇ ਦੀਆਂ ਸਥਿਤੀਆਂ, ਹਮਲਾਵਰ ਨੈੱਟਵਰਕ ਟਿਕਾਣਾ, ਅਤੇ ਹੋਰ ਪੁਸ਼ਟੀਕਰਨ ਰਣਨੀਤੀਆਂ ਸ਼ੋਸ਼ਣਯੋਗਤਾ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਦੀਆਂ ਹਨ
ਕੀ ਇਸਦਾ ਮਤਲਬ ਇਹ ਹੈ ਕਿ ਸਾਰੇ ਕਾਨੂੰਨੀ ਸਰਟੀਫਿਕੇਟ ਅਵੈਧ ਹਨ?	ਨਹੀਂ; ਸੰਬੰਧਿਤ ਅਪ੍ਰਮਾਣਿਕਤਾ ਇਸ ਗੱਲ ‘ਤੇ ਨਿਰਭਰ ਕਰਦੀ ਹੈ ਕਿ ਕਲਾਇੰਟ ਨੇ ਕਿਹੜੀਆਂ ਜੜ੍ਹਾਂ ਜਾਂ ਸਰਟੀਫਿਕੇਟ ਚੇਨਾਂ ‘ਤੇ ਭਰੋਸਾ ਨਹੀਂ ਕੀਤਾ ਹੈ।

Red Hat ਸ਼ੋਸ਼ਣ ਨੂੰ ਸਪੱਸ਼ਟ ਤੌਰ ‘ਤੇ ਅਜਿਹੀਆਂ ਸਥਿਤੀਆਂ ਤੱਕ ਸੀਮਤ ਕਰਦਾ ਹੈ ਜਿੱਥੇ ਕਲਾਇੰਟ ਅਜੇ ਵੀ ਸੰਬੰਧਿਤ ਚੇਨ ਨੂੰ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ, ਹਮਲਾਵਰ ਕੋਲ ਸਮਝੌਤਾ ਕੀਤੀ ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ ਹੈ, ਅਤੇ ਨੈੱਟਵਰਕ ਵਿੱਚ ਕਨੈਕਸ਼ਨ ਨੂੰ ਰੋਕਣ ਦੇ ਯੋਗ ਹੈ। ਜੋਖਮ ਕਵਰੇਜ ਨੂੰ ਹਮਲਿਆਂ ਦੀ ਗਿਣਤੀ ਦੇ ਨਾਲ ਉਲਝਣ ਵਿੱਚ ਨਹੀਂ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। 10

ਹੋਰ CA ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੀਆਂ ਵੈੱਬਸਾਈਟਾਂ ਨੂੰ ਵੀ ਨਕਲ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ

ਮੰਨ ਲਓ ਕਿ ਇੱਕ ਵੈਬਸਾਈਟ ਅਸਲ ਵਿੱਚ Let’s Encrypt ਸਰਟੀਫਿਕੇਟ ਦੀ ਵਰਤੋਂ ਕਰਦੀ ਹੈ, ਅਤੇ ਵਿਜ਼ਟਰ ਦਾ ਕਲਾਇੰਟ ਇੱਕੋ ਸਮੇਂ ਕਈ ਜਨਤਕ CA ‘ਤੇ ਭਰੋਸਾ ਕਰਦਾ ਹੈ। ਇੱਕ ਹਮਲਾਵਰ ਉਸੇ ਡੋਮੇਨ ਨਾਮ ਲਈ ਇੱਕ ਹੋਰ ਸਰਟੀਫਿਕੇਟ ਬਣਾਉਣ ਲਈ ਸਮਝੌਤਾ ਕੀਤੇ ਵਿਚਕਾਰਲੇ CA ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਸਕਦਾ ਹੈ। ਗ੍ਰਾਹਕਾਂ ਨੂੰ ਆਮ ਤੌਰ ‘ਤੇ ਪਹਿਲਾਂ ਤੋਂ ਇਹ ਲੋੜ ਨਹੀਂ ਹੁੰਦੀ ਹੈ ਕਿ ਡੋਮੇਨ ਨਾਮ ਸਿਰਫ Let’s Encrypt ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦਾ ਹੈ; ਜੇਕਰ ਜਾਅਲੀ ਚੇਨ ਅਜੇ ਵੀ ਸਵੀਕਾਰ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਜੋ ਕਿ CA ਵੈਬਸਾਈਟ ਅਸਲ ਵਿੱਚ ਵਰਤਦੀ ਹੈ, ਅਜਿਹੇ ਹਮਲਿਆਂ ਨੂੰ ਰੱਦ ਕਰਨ ਲਈ ਕਾਫ਼ੀ ਨਹੀਂ ਹੈ। 8

ਇਹ ਵਿਧੀ ਦੱਸਦੀ ਹੈ: ਕਿਸੇ ਹੋਰ CA ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਬਦਲਣਾ ਜੋ ਅਸਲ ਵਿੱਚ ਆਮ ਸੀ, ਆਪਣੇ ਆਪ ਹੀ ਸਮਝੌਤਾ ਕੀਤੇ CA ਵਿੱਚ ਗਾਹਕ ਦੇ ਭਰੋਸੇ ਦੀ ਮੁਰੰਮਤ ਨਹੀਂ ਕਰੇਗਾ। ਜਿਸ ਚੀਜ਼ ਨੂੰ ਅਸਲ ਵਿੱਚ ਕੱਟਣ ਦੀ ਜ਼ਰੂਰਤ ਹੈ ਉਹ ਹੈ ਗਾਹਕਾਂ ਲਈ ਜਾਅਲੀ ਪਛਾਣਾਂ ਨੂੰ ਸਵੀਕਾਰ ਕਰਨ ਦਾ ਰਸਤਾ।

ਤਿੰਨਾਂ ਪ੍ਰਭਾਵਾਂ ਨੂੰ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ ਨਜਿੱਠਣ ਦੀ ਜ਼ਰੂਰਤ ਹੈ

ਪਛਾਣ ਦੀ ਨਕਲ ਦਾ ਜੋਖਮ: ਗਾਹਕ ਜਿਨ੍ਹਾਂ ਨੇ ਸੰਬੰਧਿਤ ਚੇਨ ਨੂੰ ਬਲੌਕ ਨਹੀਂ ਕੀਤਾ ਹੈ, ਹਮਲਾਵਰ ਦੁਆਰਾ ਜਾਅਲੀ ਪਛਾਣ ਨੂੰ ਸਵੀਕਾਰ ਕਰ ਸਕਦੇ ਹਨ, ਜਿਸ ਨਾਲ ਜਾਅਲੀ ਸੇਵਾਵਾਂ ਨੂੰ ਸੰਵੇਦਨਸ਼ੀਲ ਬੇਨਤੀਆਂ ਭੇਜੀਆਂ ਜਾ ਸਕਦੀਆਂ ਹਨ।

ਜਾਇਜ਼ ਸੇਵਾ ਉਪਲਬਧਤਾ ਜੋਖਮ: ਰੂਟ ਟਰੱਸਟ ਨੂੰ ਹਟਾਉਣ ਨਾਲ ਪ੍ਰਮਾਣਿਕ ਵੇਬਸਾਈਟਾਂ ਲਈ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਦੀਆਂ ਗਲਤੀਆਂ ਹੋ ਸਕਦੀਆਂ ਹਨ, ਜਿਨ੍ਹਾਂ ਨੂੰ ਕਿਸੇ ਹੋਰ ਸਵੀਕਾਰ ਕੀਤੀ ਲੜੀ ਵਿੱਚ ਮਾਈਗ੍ਰੇਸ਼ਨ ਦੀ ਲੋੜ ਹੋ ਸਕਦੀ ਹੈ।

ਡਿਪਲਾਇਮੈਂਟ ਕਵਰੇਜ ਜੋਖਮ: ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਨੂੰ ਫਿਕਸ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਜਦੋਂ ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ-ਬੰਡਲਡ ਟਰੱਸਟ ਸਟੋਰ, ਵਰਚੁਅਲ ਵਾਤਾਵਰਣ, ਪੁਰਾਣਾ ਕੰਟੇਨਰ ਚਿੱਤਰ, ਜਾਂ ਕੰਪਾਇਲ ਕੀਤਾ ਪ੍ਰੋਗਰਾਮ ਪੁਰਾਣੇ ਪ੍ਰਮਾਣਿਕਤਾ ਵਿਵਹਾਰ ਨੂੰ ਬਰਕਰਾਰ ਰੱਖਦਾ ਹੈ।

ਇਹ ਤਿੰਨੇ ਦਾਇਰੇ ਇੱਕੋ ਜਿਹੇ ਨਹੀਂ ਹਨ। Cloudflare ਦਾ ਜਵਾਬ ਰਿਮੋਟ ਪਛਾਣ ਪ੍ਰਮਾਣਿਕਤਾ, ਸ਼ੇਅਰਡ ਟਰੱਸਟ ਸਟੋਰ, ਬੇਸ ਚਿੱਤਰ, ਅਤੇ ਵਿਅਕਤੀਗਤ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਕਵਰ ਕਰਦਾ ਹੈ, ਇਹ ਦਰਸਾਉਂਦਾ ਹੈ ਕਿ ਬਾਅਦ ਦੇ ਦੋ ਕਾਰਜਾਂ ਨੂੰ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ ਕਿਉਂ ਸੰਭਾਲਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। 7

3 ਪ੍ਰਭਾਵਿਤ CA ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਦਾਤਾ

ਪ੍ਰਦਾਤਾ ਅਤੇ ਪ੍ਰਭਾਵ ਦੀ ਕਿਸਮ

ਪ੍ਰਦਾਤਾ ਜਾਂ ਸਿਸਟਮ	ਇਸ ਘਟਨਾ ਵਿੱਚ ਰੋਲ	ਸੀਮਾਵਾਂ ਜਿਨ੍ਹਾਂ ਨੂੰ ਵੱਖ ਕਰਨ ਦੀ ਲੋੜ ਹੈ
eMudhra／emSign	ਵਿਚਕਾਰਲੀ CA ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ ਨਾਲ ਸਿੱਧਾ ਸਮਝੌਤਾ ਕੀਤਾ ਗਿਆ ਹੈ।	ਤੁਸੀਂ ਸਾਰੇ eMudhra ਰੂਟ ਅਤੇ ਸਾਰੇ ਸਰਟੀਫਿਕੇਟਾਂ ਨੂੰ ਕ੍ਰੈਕ ਦੇ ਰੂਪ ਵਿੱਚ ਨਹੀਂ ਲਿਖ ਸਕਦੇ ਹੋ
Sectigo ਸਬੰਧਤ ਕਰਾਸ-ਦਸਤਖਤ ਚੇਨ	A ਕਰਾਸ-ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਭਾਵਿਤ ਜਨਤਕ ਕੁੰਜੀਆਂ ਦੇ ਉਸੇ ਬੈਚ ਲਈ ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਸੀ, ਇੱਕ ਹੋਰ ਟਰੱਸਟ ਮਾਰਗ ਬਣਾਉਂਦੇ ਹੋਏ।	ਸੰਬੰਧਿਤ ਕਰਾਸ ਸਰਟੀਫਿਕੇਟ ਜਾਂ ਜਨਤਕ ਕੁੰਜੀ ਨੂੰ ਬਲੌਕ ਕਰਨ ਦੀ ਲੋੜ ਹੈ; Sectigo ਰੂਟ ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ ਨਾਲ ਸਮਝੌਤਾ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ।
Internet2/InCommon ਲਈ ਸੰਬੰਧਿਤ ਸਰਟੀਫਿਕੇਟ ਪੱਧਰ	ਕੁਝ ਜਾਇਜ਼ ਸਰਟੀਫਿਕੇਟਾਂ ਨੂੰ ਹਟਾਏ ਜਾਣ ਲਈ emSign ECC ਰੂਟ ‘ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ ਮਾਈਗ੍ਰੇਸ਼ਨ ਸ਼ਾਮਲ ਹੈ	ਇਹ ਰੂਟ ਅਵਿਸ਼ਵਾਸ ਦਾ ਇੱਕ ਸੰਪੱਤੀ ਪ੍ਰਭਾਵ ਹੈ ਅਤੇ ਉਹਨਾਂ 8 ਕਮਜ਼ੋਰ ਕੁੰਜੀਆਂ ਦੇ ਵਿਚਕਾਰ ਨਹੀਂ ਗਿਣਿਆ ਜਾ ਸਕਦਾ ਹੈ CA
Let’s Encrypt, DigiCert, Google Trust Services, GlobalSign, ਆਦਿ।	ਇਸ ਰਿਪੋਰਟ ਵਿੱਚ ਉਸ ਪਾਰਟੀ ਵਜੋਂ ਸੂਚੀਬੱਧ ਨਹੀਂ ਹੈ ਜਿਸਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਨਾਲ ਸਮਝੌਤਾ ਕੀਤਾ ਗਿਆ ਸੀ	ਜਾਇਜ਼ ਸਰਟੀਫਿਕੇਟ ਇਕਸਾਰ ਅਪ੍ਰਮਾਣਿਤ ਨਹੀਂ ਹਨ; ਕਮਜ਼ੋਰ ਗਾਹਕ ਅਜੇ ਵੀ ਉਹਨਾਂ ਵੈੱਬਸਾਈਟਾਂ ਦੀ ਨਕਲ ਕਰਦੇ ਹੋਏ ਜਾਅਲੀ ਸਰਟੀਫਿਕੇਟ ਸਵੀਕਾਰ ਕਰ ਸਕਦੇ ਹਨ ਜੋ ਉਹਨਾਂ ਦੁਆਰਾ ਸੇਵਾ ਕਰਦੇ ਹਨ
CDN, ਕਲਾਉਡ ਪਲੇਟਫਾਰਮ, ਸਰਟੀਫਿਕੇਟ ਡੀਲਰ	ਮੂਲ ਅਤੇ API ਨਾਲ ਜੁੜਨ ਵੇਲੇ ਸੰਭਵ ਤੌਰ ‘ਤੇ ਸੰਬੰਧਿਤ ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਦਾਨ ਕਰੋ ਜਾਂ ਜਨਤਕ ਟਰੱਸਟਸਟੋਰ ਦੀ ਵਰਤੋਂ ਕਰੋ	ਅਸਲ ਸਰਟੀਫਿਕੇਟ ਚੇਨ ਅਤੇ ਵੈਲੀਡੇਟਰ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ, ਸਿਰਫ਼ ਪਲੇਟਫਾਰਮ ਜਾਂ ਉਤਪਾਦ ਦੇ ਨਾਮ ਨੂੰ ਨਾ ਦੇਖੋ

Mozilla ਦਾ ਨੋਟਿਸ ਸਮਝੌਤਾ ਕੀਤੀਆਂ ਕੁੰਜੀਆਂ ਅਤੇ Sectigo ਕਰਾਸ-ਹਸਤਾਖਰਾਂ ਦਾ ਦਸਤਾਵੇਜ਼ ਹੈ। Google ਦੀ ਜਨਤਕ ਘਟਨਾ ਦੀ ਚਰਚਾ ਜਾਇਜ਼ Internet2/InCommon ਲੜੀ ਦੇ ਪ੍ਰਵਾਸ ਨੂੰ ਸੰਬੋਧਿਤ ਕਰਦੀ ਹੈ। 2 5 Cloudflare ਦਾ ਪਤਾ ਸੇਵਾ ਅਤੇ ਕਲਾਇੰਟ ਟਰੱਸਟ ਨੂੰ ਠੀਕ ਕਰਦਾ ਹੈ; ਉਹ Cloudflare ਦੀਆਂ ਆਪਣੀਆਂ CA ਨਿੱਜੀ ਕੁੰਜੀਆਂ ਨਾਲ ਸਮਝੌਤਾ ਨਹੀਂ ਦਰਸਾਉਂਦੇ ਹਨ। 7

TLS ਸਰਟੀਫਿਕੇਟ ਚੇਨ ਅਤੇ ਕਰਾਸ-ਦਸਤਖਤ

ਨਿਮਨਲਿਖਤ ਸੰਬੰਧ ਇਸ ਵਾਰ ਸਿਰਫ TLS ਸੰਬੰਧਿਤ ਮਾਰਗਾਂ ਦਾ ਵਰਣਨ ਕਰਦਾ ਹੈ। ਇਸ ਵਿੱਚ ਕੋਡ ਸਾਈਨਿੰਗ ਮਾਰਗ ਸ਼ਾਮਲ ਨਹੀਂ ਹਨ, ਨਾ ਹੀ ਇਸਦਾ ਮਤਲਬ ਇਹ ਹੈ ਕਿ ਇਹ ਮਾਰਗ ਅਜੇ ਵੀ ਸਾਰੇ ਪਲੇਟਫਾਰਮਾਂ ‘ਤੇ ਭਰੋਸੇਯੋਗ ਹਨ। 17

emSign ECC Root CA - G3 → emSign Root TLS CA - G3 → ਪ੍ਰਭਾਵਿਤ TLS ਇੰਟਰਮੀਡੀਏਟ CA ਜਨਤਕ ਕੁੰਜੀ → ਨਿਸ਼ਾਨਾ ਡੋਮੇਨ ਲਈ ਜਾਅਲੀ ਸਰਟੀਫਿਕੇਟ
AAA Certificate Services → ਪ੍ਰਭਾਵਿਤ TLS ਇੰਟਰਮੀਡੀਏਟ CA ਜਨਤਕ ਕੁੰਜੀ → ਨਿਸ਼ਾਨਾ ਡੋਮੇਨ ਲਈ ਜਾਅਲੀ ਸਰਟੀਫਿਕੇਟ

emSign Root TLS CA - G3 ਪ੍ਰਭਾਵਿਤ TLS ਇੰਟਰਮੀਡੀਏਟਸ ਦਾ ਇੱਕ ਸਿੱਧਾ ਜਾਰੀਕਰਤਾ ਹੈ ਅਤੇ ਆਪਣੇ ਆਪ ਵਿੱਚ ਕੁਝ ਸਟੋਰਾਂ ਵਿੱਚ ਇੱਕ ਟਰੱਸਟ ਐਂਕਰ ਹੋ ਸਕਦਾ ਹੈ। emSign ECC Root CA - G3 ਇੱਕ ਹੋਰ ਕਰਾਸ-ਸਾਈਨਿੰਗ ਲੇਅਰ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। Sectigo ਦਾ AAA Certificate Services ਸਮਾਨ ਵਿਚਕਾਰਲੇ CA ਜਨਤਕ ਕੁੰਜੀਆਂ ਲਈ ਇੱਕ ਵਾਧੂ ਮਾਰਗ ਬਣਾਉਂਦਾ ਹੈ। 17

ਇਸ ਲਈ, ਮੁਰੰਮਤ ਕਰਦੇ ਸਮੇਂ ਦੋ ਵੱਖ-ਵੱਖ ਗ੍ਰੈਨਿਊਲਿਟੀਜ਼ ਹਨ:

ਸਟੀਕ ਇੰਟਰਮੀਡੀਏਟ CA ਜਾਂ ਜਨਤਕ ਕੁੰਜੀ ਨੂੰ ਬਲੌਕ ਕਰੋ: ਇਹ ਉਸੇ ਰੂਟ ਦੇ ਅਧੀਨ ਹੋਰ ਜਾਇਜ਼ ਲੜੀ ਨੂੰ ਸੁਰੱਖਿਅਤ ਰੱਖ ਸਕਦਾ ਹੈ, ਜਿੱਥੇ ਵੈਲੀਡੇਟਰ ਉਸ ਵਿਧੀ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ।
ਰੂਟ ਭਰੋਸੇ ਨੂੰ ਹਟਾਓ: ਇਹ ਗਾਹਕਾਂ ਨੂੰ ਵਿਚਕਾਰਲੇ CA ਬਲਾਕਿੰਗ ਸਮਰੱਥਾਵਾਂ ਤੋਂ ਬਿਨਾਂ ਸੁਰੱਖਿਅਤ ਕਰ ਸਕਦਾ ਹੈ, ਪਰ ਅਨੁਕੂਲਤਾ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰ ਸਕਦਾ ਹੈ। ਹੋਰ ਸਾਰੇ ਮਾਰਗ ਜੋ ਕਲਾਇੰਟ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ ਨੂੰ ਵੀ ਕਵਰ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। 5

“ਸਾਰੇ Sectigo/eMudhra ਜੜ੍ਹਾਂ ਨੂੰ ਮਿਟਾਓ” ਨੂੰ ਇੱਕ ਅੰਨ੍ਹੇਵਾਹ ਆਮ ਕਦਮ ਵਜੋਂ ਨਹੀਂ ਲਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਨਾ ਹੀ ਇੱਕ ਸਮਾਨ ਨਾਮ ਵਾਲੇ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਮਿਟਾਉਣ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਸਾਰੇ ਮਾਰਗ ਬੰਦ ਹਨ।

4 ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਅਤੇ ਬ੍ਰਾਊਜ਼ਰ ਕਵਰੇਜ

ਮੁੱਖ ਪਲੇਟਫਾਰਮ

ਪਲੇਟਫਾਰਮ	ਜਾਣਿਆ ਸੁਭਾਅ	ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ ਸਕੋਪ ਦੀ ਜਾਂਚ ਕੀਤੀ ਜਾਣੀ ਚਾਹੀਦੀ ਹੈ
Windows ਅਤੇ Windows Server	Microsoft ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨ ਆਟੋਮੈਟਿਕ ਸਰਟੀਫਿਕੇਟ ਟਰੱਸਟ ਸੂਚੀ ਅੱਪਡੇਟ ਦੁਆਰਾ ਬਲੌਕ ਕੀਤਾ ਗਿਆ	ਕੀ ਡਿਵਾਈਸ ਨੂੰ ਅੱਪਡੇਟ ਪ੍ਰਾਪਤ ਹੋਇਆ ਹੈ; ਸਟੈਂਡਅਲੋਨ CA bundle ਜ਼ਰੂਰੀ ਤੌਰ ‘ਤੇ Windows ਦੇ ਪੁਸ਼ਟੀਕਰਨ ਮਾਰਗ ਦੀ ਵਰਤੋਂ ਨਹੀਂ ਕਰਦਾ ਹੈ
macOS, iOS, iPadOS, ਆਦਿ Apple ਪਲੇਟਫਾਰਮ	ਘਟਨਾ ਕੋਆਰਡੀਨੇਟਰ ਨੇ ਪੁਸ਼ਟੀ ਕੀਤੀ ਕਿ Apple ਨੇ ਸਬੰਧਤ ਨਾਕਾਬੰਦੀ ਨੂੰ ਤੈਨਾਤ ਕੀਤਾ ਹੈ	ਹਰੇਕ ਪੁਰਾਣੇ ਸੰਸਕਰਣ ਅਤੇ ਤੀਜੀ-ਧਿਰ ਐਪ ਨੂੰ ਸਮਾਨ ਕਵਰੇਜ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਗਰੰਟੀ ਨਹੀਂ ਹੈ
Android	Google Google Play ਸੇਵਾ ਦੁਆਰਾ ਬਰਾਬਰ ਬਲਾਕ ਵੰਡਦਾ ਹੈ	Google Play ਸੇਵਾ ਦੇ ਬਿਨਾਂ ROM ਨਿਰਮਾਤਾ ਦੀ ਘੋਸ਼ਣਾ ਦੇ ਅਨੁਸਾਰ ਪ੍ਰਮਾਣਿਤ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ; ਵਾਧੂ ਤਸਦੀਕ ਲਈ ਬਿਲਟ-ਇਨ ਵੈਰੀਫਾਇਰ ਦੀ ਵਰਤੋਂ ਕਰੋ
Ubuntu	ਸਿਸਟਮ ਸਰਟੀਫਿਕੇਟ ਬੰਡਲ ਫਿਕਸ ਪ੍ਰਦਾਨ ਕੀਤੇ ਗਏ ਹਨ, ਕਈ ਮੌਜੂਦਾ ਅਤੇ ਪੁਰਾਣੇ ਸੰਸਕਰਣ ਸ਼ਾਖਾਵਾਂ ਸਮੇਤ	ESM ਦਾ ਪੁਰਾਣਾ ਸੰਸਕਰਣ ਸ਼ਰਤਾਂ, ਕੰਟੇਨਰ ਅੰਦਰੂਨੀ ਸਰਟੀਫਿਕੇਟ ਪੈਕੇਜ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਬਿਲਟ-ਇਨ ਲਾਇਬ੍ਰੇਰੀ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ
Debian ਅਤੇ Devuan	Debian ਰਿਕਾਰਡ ਕੀਤਾ ca-certificates ਸਥਿਰ	ਤੁਹਾਨੂੰ ਵਰਤੀ ਗਈ ਅਸਲ ਸ਼ਾਖਾ ਅਤੇ ਸਥਾਪਿਤ ਪੈਕੇਜ ਦੀ ਜਾਂਚ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ, ਅਤੇ ਤੁਸੀਂ ਕਿਸੇ ਹੋਰ ਸ਼ਾਖਾ ਦੇ ਸੰਸਕਰਣ ਨੰਬਰ ਦੀ ਨਕਲ ਨਹੀਂ ਕਰ ਸਕਦੇ ਹੋ।
RHEL ਅਤੇ ਡੈਰੀਵੇਟਿਵਜ਼	ਅਧਿਕਾਰਤ ਸੂਚੀ RHEL 6, 7, 8, 9, 10 ਹੈ, ਅਤੇ ਸੰਬੰਧਿਤ ਉਤਪਾਦਾਂ ਅਤੇ ਚਿੱਤਰਾਂ ਨੂੰ ਕਵਰ ਕਰਦੀ ਹੈ ਜੋ ਪ੍ਰਭਾਵਿਤ ਹੋ ਸਕਦੇ ਹਨ	ਇਸ ਜਾਂਚ ਦੇ ਅਨੁਸਾਰ, ਘੋਸ਼ਣਾ ਵਿੱਚ ਅਜੇ ਤੱਕ ਫਿਕਸ ਅਤੇ ਇਰੱਟਾ ਦੀ ਪੂਰੀ ਸੂਚੀ ਨਹੀਂ ਦਿੱਤੀ ਗਈ ਹੈ; “ਅੱਪਡੇਟ ਨਹੀਂ ਮਿਲਿਆ” ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਮੰਨਿਆ ਜਾ ਸਕਦਾ ਹੈ
Fedora, Arch, Gentoo, Alpine, ਆਦਿ।	ਇਵੈਂਟ ਮੇਨਟੇਨਰ ਨੇ ਸੰਬੰਧਿਤ ਮੁਰੰਮਤ ਰਿਕਾਰਡਾਂ ਨੂੰ ਕੰਪਾਇਲ ਕੀਤਾ ਹੈ	ਰੀਲੀਜ਼, ਸੰਸਕਰਣ ਸ਼ਾਖਾ ਅਤੇ ਚਿੱਤਰ ਦੁਆਰਾ ਸੁਤੰਤਰ ਤੌਰ ‘ਤੇ ਪੁਸ਼ਟੀ ਕੀਤੀ ਗਈ
FreeBSD	ਅਧਿਕਾਰਤ ਤੌਰ ‘ਤੇ ਸਾਰੇ ਸਮਰਥਿਤ ਸੰਸਕਰਣਾਂ ਨੂੰ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ ਅਤੇ ਸਿਸਟਮ ਟਰੱਸਟ ਸਟੋਰ ਮੁਰੰਮਤ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ	ਅੱਪਡੇਟ ਤੋਂ ਬਾਅਦ, ਘੋਸ਼ਣਾ ਦੇ ਅਨੁਸਾਰ ਸੰਬੰਧਿਤ ਡੈਮਨ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਮੁੜ ਚਾਲੂ ਕਰੋ; ਵੱਖਰੇ ਤੌਰ ‘ਤੇ ਸੁਤੰਤਰ ਐਪਲੀਕੇਸ਼ਨ ਟਰੱਸਟ ਸਟੋਰ ਦੀ ਜਾਂਚ ਕਰੋ।

Windows, Apple ਅਤੇ ਰੀਲੀਜ਼ਾਂ ਦੇ ਸੰਖੇਪ ਲਈ, 4 ਦੇਖੋ; Android ਲਈ, 1 ਦੇਖੋ; Ubuntu, Debian, RHEL, ਅਤੇ FreeBSD ਲਈ ਜਾਰੀਕਰਤਾ ਦੇ ਰਿਕਾਰਡ ਕ੍ਰਮਵਾਰ 8–11 ਵਿੱਚ ਦਿਖਾਏ ਗਏ ਹਨ।

ਸਿਸਟਮ ਜੋ ਹੁਣ ਸਮਰਥਿਤ ਨਹੀਂ ਹਨ, ਔਫਲਾਈਨ ਡਿਵਾਈਸਾਂ, NAS, ਰਾਊਟਰਾਂ, ਅਤੇ ਹੋਰ ਏਮਬੈਡਡ ਵਾਤਾਵਰਨ ਨੂੰ ਇਹ ਪੁਸ਼ਟੀ ਕਰਨ ਦੀ ਲੋੜ ਹੈ ਕਿ ਕੀ ਉਹ ਅਜੇ ਵੀ ਸੰਬੰਧਿਤ ਚੇਨ ‘ਤੇ ਭਰੋਸਾ ਕਰਦੇ ਹਨ ਅਤੇ ਕੀ ਉਹਨਾਂ ਕੋਲ ਰੱਦ ਕਰਨ ਜਾਂ ਸੌਫਟਵੇਅਰ ਅੱਪਡੇਟ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਚੈਨਲ ਹਨ। ਪਲੇਟਫਾਰਮ ਨਾਮ ਆਪਣੇ ਆਪ ਵਿੱਚ ਅਸਲ ਤਸਦੀਕ ਵਿਵਹਾਰ ਦੀ ਜਾਂਚ ਕਰਨ ਦਾ ਬਦਲ ਨਹੀਂ ਹੈ।

ਬ੍ਰਾਊਜ਼ਰ ਸੁਰੱਖਿਆ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਸੁਰੱਖਿਆ ਤੋਂ ਵੱਖਰੀ ਹੈ

Chrome ਸੰਕਟਕਾਲੀਨ ਬਲਾਕਾਂ ਨੂੰ ਵੰਡਣ ਲਈ CRLSet ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ; Firefox ਵਿਧੀ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ ਜਿਵੇਂ ਕਿ OneCRL। Firefox ਨੂੰ ਉਹਨਾਂ ਸੰਰਚਨਾਵਾਂ ਲਈ ਅਤਿਰਿਕਤ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਕਰਨ ਲਈ ਬਲਾਕਿੰਗ ਜਾਣਕਾਰੀ ਦੇ ਨਾਲ ਵੀ ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਹੈ ਜੋ ਰਿਮੋਟ ਸੈਟਿੰਗਾਂ ਨੂੰ ਸਹੀ ਢੰਗ ਨਾਲ ਪ੍ਰਾਪਤ ਨਹੀਂ ਕਰਦੇ ਹਨ। 1 3

Firefox Android ਦੀਆਂ ਕੁਝ ਸੰਰਚਨਾਵਾਂ ਨੇ ਸਟਾਰਟਅਪ ‘ਤੇ ਅੱਪਡੇਟ ਕੀਤੀ ਸੂਚੀ ਨੂੰ ਸਹੀ ਢੰਗ ਨਾਲ ਲਾਗੂ ਨਹੀਂ ਕੀਤਾ ਸੀ, ਜਿਸ ਨੂੰ Mozilla ਨੇ 158.0.2. ਦੁਆਰਾ ਫਿਕਸ ਕੀਤੇ ਜਾਣ ਲਈ ਕਿਹਾ ਹੈ, ਇਸ ਲਈ, 158.0.1 ਦੀ ਸਥਿਤੀ ਨੂੰ ਸਾਰੀਆਂ ਸੁਰੱਖਿਆ ਵਾਲੀਆਂ Android Firefox ਸੰਰਚਨਾਵਾਂ ਨੂੰ ਸ਼ਾਮਲ ਕਰਨ ਲਈ ਵਿਸਤਾਰ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। 2

Apple ਅਤੇ Windows ਦੇ ਸਿਸਟਮ ਤਸਦੀਕ ਲਈ ਉਪਾਅ ਕੀਤੇ ਗਏ ਹਨ, ਪਰ ਇਸਦਾ ਮਤਲਬ ਇਹ ਨਹੀਂ ਹੈ ਕਿ ਇੱਕੋ ਮਸ਼ੀਨ ‘ਤੇ ਸਾਰੇ ਕਮਾਂਡ ਲਾਈਨ ਪ੍ਰੋਗਰਾਮ ਸਿਸਟਮ ਤਸਦੀਕ ਤੋਂ ਗੁਜ਼ਰਨਗੇ। ਇਵੈਂਟ ਮੇਨਟੇਨਰ ਨੇ ਖਾਸ ਤੌਰ ‘ਤੇ ਯਾਦ ਦਿਵਾਇਆ ਕਿ ਕੁਝ macOS ਬਿਲਟ-ਇਨ ਟੂਲ ਸੁਤੰਤਰ ਸਰਟੀਫਿਕੇਟ ਫਾਈਲਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ; ਜਾਂਚ ਕਰਨ ਵੇਲੇ ਅਸਲ TLS ਬੈਕਐਂਡ ਅਤੇ CA ਸਰੋਤ ਨੂੰ ਰਿਕਾਰਡ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। 4

ਸਰਟੀਫਿਕੇਟ ਪਾਰਦਰਸ਼ਤਾ ਲਈ ਸੁਰੱਖਿਆ ਦੀਆਂ ਸੀਮਾਵਾਂ

Google ਨੇ ਪੁਸ਼ਟੀ ਕੀਤੀ ਕਿ ਬਲਾਕ ਨੂੰ ਲਾਗੂ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ, ਛੇ TLS ਇੰਟਰਮੀਡੀਏਟ CA ਨੇ TLS ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਨਹੀਂ ਕੀਤਾ ਜੋ CT ਲੌਗ ਵਿੱਚ ਦਾਖਲ ਹੋਇਆ ਸੀ। ਇਸ ਲਈ, Chrome ਕਲਾਇੰਟ ਜੋ CT ਨੂੰ ਲਾਗੂ ਕਰਦੇ ਹਨ ਉਹਨਾਂ ਕੋਲ ਵਾਧੂ ਸੁਰੱਖਿਆ ਹੁੰਦੀ ਹੈ। ਇਹ ਤੱਥ ਇਸ ਸੰਭਾਵਨਾ ਨੂੰ ਰੱਦ ਨਹੀਂ ਕਰਦਾ ਹੈ ਕਿ CT ਨੂੰ ਲਾਗੂ ਨਾ ਕਰਨ ਵਾਲੇ ਹੋਰ ਗਾਹਕਾਂ ਨੇ ਬਿਨਾਂ ਦਸਤਾਵੇਜ਼ੀ ਸਰਟੀਫਿਕੇਟ ਸਵੀਕਾਰ ਕੀਤੇ ਹਨ। 1 5

“ਇਹ ਪਤਾ ਚਲਦਾ ਹੈ ਕਿ ਇਸ ਨੂੰ ਭਰੋਸੇਯੋਗ ਰੂਟ ਨਾਲ ਜੋੜਿਆ ਜਾ ਸਕਦਾ ਹੈ”, “ਸੰਭਾਵੀ ਸ਼ੋਸ਼ਣ ਦੀਆਂ ਸਥਿਤੀਆਂ ਮੌਜੂਦ ਹਨ” ਅਤੇ “ਇੱਕ ਹਮਲਾ ਹੋਇਆ ਹੈ” ਤਿੰਨ ਵੱਖ-ਵੱਖ ਨਿਰਣੇ ਹਨ ਅਤੇ ਇਹਨਾਂ ਨੂੰ ਇੱਕ ਦੂਜੇ ਦੁਆਰਾ ਬਦਲਿਆ ਨਹੀਂ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ।

5 ਵਿਕਾਸ ਵਾਤਾਵਰਣ ਅਤੇ ਰਨਟਾਈਮ ਮੁਰੰਮਤ ਬੇਸਲਾਈਨ

ਨਿਮਨਲਿਖਤ ਪੁਸ਼ਟੀ ਕੀਤੇ ਫਿਕਸਾਂ ਦੀ ਇੱਕ ਬੇਸਲਾਈਨ ਹੈ ਅਤੇ ਇਹਨਾਂ ਰੀਲੀਜ਼ਾਂ ਨੂੰ ਲੰਬੇ ਸਮੇਂ ਲਈ ਪਿੰਨ ਕਰਨ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ। ਡਿਸਟ੍ਰੋਜ਼ ਪੈਚਾਂ ਨੂੰ ਪਿੱਛੇ ਛੱਡ ਕੇ ਪੁਰਾਣੇ ਸੰਸਕਰਣ ਨੰਬਰਾਂ ਨੂੰ ਠੀਕ ਕਰ ਸਕਦੇ ਹਨ, ਅਤੇ ਉਹਨਾਂ ਦੀਆਂ ਸੁਰੱਖਿਆ ਸਲਾਹਾਂ ਦੀ ਵੀ ਸਮੀਖਿਆ ਕੀਤੀ ਜਾਣੀ ਚਾਹੀਦੀ ਹੈ।

ਭਾਗ	ਪੁਸ਼ਟੀ ਕੀਤੀ ਸੰਸਕਰਣ ਜਾਂ ਅੱਪਡੇਟ ਵਿਧੀ	ਤੈਨਾਤੀ ਦੇ ਵਿਚਾਰ
Node.js 24	24.22.1 ਜਾਂ ਉਸੇ ਸ਼ਾਖਾ ਦੇ ਸਥਿਰ ਸੰਸਕਰਣ ਨੂੰ ਅਪਡੇਟ ਕਰੋ	ਰੂਟ ਰਿਪੋਜ਼ਟਰੀ ਅੱਪਡੇਟ ਅਤੇ ਬਲੌਕ ਕੀਤੇ ਜਨਤਕ ਕੀਚੇਨ ਨੂੰ ਅਸਵੀਕਾਰ ਕਰਨਾ ਸ਼ਾਮਲ ਹੈ; ਅਸਲ ਵਿੱਚ ਸੇਵਾ ਦੁਆਰਾ ਵਰਤੇ ਗਏ Node ਮਾਰਗ ਦੀ ਜਾਂਚ ਕਰੋ ਅਤੇ ਮੁੜ ਚਾਲੂ ਕਰੋ
Python certifi	2026.10.19 ਜਾਂ ਨਵਾਂ ਸੰਸਕਰਣ	ਹਰੇਕ ਅਸਲ ਚੱਲ ਰਹੇ ਵਾਤਾਵਰਣ ਦੀ ਜਾਂਚ ਕਰੋ; ਤੁਸੀਂ ਗਲੋਬਲ Python ਦੇ ਤਹਿਤ ਸਿਰਫ਼ ਇੱਕ ਪੈਕੇਜ ਨੂੰ ਅੱਪਡੇਟ ਨਹੀਂ ਕਰ ਸਕਦੇ ਹੋ
pip	26.2.2 ਜਾਂ ਨਵਾਂ ਸੰਸਕਰਣ	ਪੁਰਾਣੇ ਵਰਚੁਅਲ ਵਾਤਾਵਰਨ ਵਿੱਚ pip ਨੂੰ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ ਅੱਪਡੇਟ ਕਰੋ ਅਤੇ ਨਵਾਂ ਵਾਤਾਵਰਨ ਬਣਨ ਤੋਂ ਬਾਅਦ ਸੰਸਕਰਣ ਦੀ ਸਮੀਖਿਆ ਕਰੋ
uv	0.13.4 ਜਾਂ ਨਵਾਂ ਸੰਸਕਰਣ	ਟੂਲ ਦੀ ਇੱਕ ਕਾਪੀ ਨੂੰ ਅੱਪਡੇਟ ਕਰੋ ਕਿਉਂਕਿ ਇਹ ਅਸਲ ਵਿੱਚ ਸਥਾਪਤ ਕੀਤਾ ਗਿਆ ਸੀ
Go	1.27.3 ਜਾਂ 1.26.10, ਸੰਬੰਧਿਤ ਸ਼ਾਖਾ ਦਾ ਅੱਪਡੇਟ ਕੀਤਾ ਸੰਸਕਰਣ ਵੀ ਉਪਲਬਧ ਹੈ	ਟੂਲ ਚੇਨ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨ ਤੋਂ ਬਾਅਦ ਸੰਬੰਧਿਤ ਪ੍ਰੋਗਰਾਮਾਂ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਓ ਅਤੇ ਲਾਗੂ ਕਰੋ, ਜਾਂ ਵਿਕਰੇਤਾ ਦੀ ਮੁਰੰਮਤ ਬਾਈਨਰੀ ਪ੍ਰਾਪਤ ਕਰੋ
Oracle JDK	ਅਨੁਸਾਰੀ ਸਮਰਥਿਤ ਸੰਸਕਰਣ ਲਾਈਨਾਂ ਲਈ Critical ਪੈਚ	ਵੱਖ-ਵੱਖ JDK ਪ੍ਰਕਾਸ਼ਕ ਆਪਣੀਆਂ ਘੋਸ਼ਣਾਵਾਂ ਦੀ ਪਾਲਣਾ ਕਰਦੇ ਹਨ; ਇੱਥੇ ਕੋਈ ਸਿੰਗਲ ਸੰਸਕਰਣ ਨੰਬਰ ਨਹੀਂ ਹੈ ਜੋ ਸਾਰੀਆਂ Java ਰੀਲੀਜ਼ਾਂ ‘ਤੇ ਲਾਗੂ ਹੁੰਦਾ ਹੈ
Cloudflare Tunnel	cloudflared 2026.10.2 ਜਾਂ ਨਵਾਂ ਸੰਸਕਰਣ	ਚੱਲ ਰਹੀਆਂ ਸੇਵਾਵਾਂ ਨੂੰ ਅੱਪਡੇਟ ਕਰੋ; ਕੰਟੇਨਰ ਤੈਨਾਤੀ ਲਈ ਚਿੱਤਰ ਨੂੰ ਬਦਲਣ ਅਤੇ ਮੁੜ ਤੈਨਾਤ ਕਰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ
Cloudflare One／WARP	ਪਲੇਟਫਾਰਮ ਜਾਂ ਅੱਪਡੇਟ ਕੀਤੇ ਸਥਿਰ ਸੰਸਕਰਣ ਨਾਲ ਸੰਬੰਧਿਤ ਸਥਿਰ ਕਲਾਇੰਟ ਸੰਸਕਰਣ	ਕਲਾਇੰਟ-ਸਾਈਡ ਅਤੇ ਸਰਵਰ-ਸਾਈਡ ਉਪਾਅ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ ਪੁਸ਼ਟੀ ਕੀਤੇ ਗਏ ਹਨ। ਖਾਸ ਪਲੇਟਫਾਰਮ ਸੰਸਕਰਣਾਂ ਲਈ, ਅੰਤਿਕਾ 7 ਦੇਖੋ

ਲਈ ਮੂਲ ਨਿਰਦੇਸ਼ Node , Python , Go , Oracle ਅਤੇ Cloudflare ਵਿੱਚ ਕ੍ਰਮਵਾਰ ਉਪਲਬਧ ਹਨ 13 , 12 , 14 , 15 , 7 .

Python ਸੁਤੰਤਰ ਸਰਟੀਫਿਕੇਟ ਡੇਟਾਬੇਸ ਸਮੱਸਿਆ

Python ਅਧਿਕਾਰੀਆਂ ਨੇ ਦੱਸਿਆ ਕਿ ਪੁਰਾਣਾ pip ਸਿਸਟਮ ਟਰੱਸਟ ਅਤੇ ਬਿਲਟ-ਇਨ certifi ਦੇ ਸੁਮੇਲ ਦੀ ਵਰਤੋਂ ਕਰੇਗਾ। ਸਿਰਫ਼ ਸਿਸਟਮ ਸਰਟੀਫਿਕੇਟ ਸਟੋਰ ਨੂੰ ਸੋਧਣਾ ਜਾਂ pip ਵਿੱਚ CA ਫਾਈਲ ਨੂੰ ਜੋੜਨਾ ਭਰੋਸੇਯੋਗ ਤੌਰ ‘ਤੇ ਇਸਦੇ ਬਿਲਟ-ਇਨ ਪੁਰਾਣੇ ਟਰੱਸਟ ਨੂੰ ਬਾਹਰ ਨਹੀਂ ਕੱਢ ਸਕਦਾ ਹੈ। ਇਸ ਲਈ, PIP_CERT, REQUESTS_CA_BUNDLE ਜਾਂ --cert ਨੂੰ ਪੁਰਾਣੇ pip ਲਈ ਯੂਨੀਵਰਸਲ ਰਿਪੇਅਰ ਰਿਪਲੇਸਮੈਂਟ ਵਜੋਂ ਨਹੀਂ ਵਰਤਿਆ ਜਾ ਸਕਦਾ। 12

ਅੱਪਡੇਟ ਕਰਨ ਤੋਂ ਬਾਅਦ ਮੌਜੂਦਾ ਵਰਚੁਅਲ ਵਾਤਾਵਰਨ ਦੀ ਜਾਂਚ ਕਰੋ। ਨਵੇਂ ਬਣਾਏ ਵਾਤਾਵਰਨ ਵਿੱਚ ਅਸਲ ਵਿੱਚ ਸਥਾਪਿਤ ਕੀਤੇ ਗਏ pip ਸੰਸਕਰਣ ਦੀ ਵੀ ਜਾਂਚ ਕਰੋ ਤਾਂ ਜੋ ਪੁਰਾਣੇ ਬੂਟਸਟਰੈਪ ਹਿੱਸੇ ਕਮਜ਼ੋਰ ਟੂਲਜ਼ ਨੂੰ ਦੁਬਾਰਾ ਪੇਸ਼ ਨਾ ਕਰਨ। ਸ਼ੁਰੂਆਤੀ ਅੱਪਗ੍ਰੇਡ ਲਈ, ਹੋਰ ਪੈਕੇਜਾਂ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ Python ਦੀ ਸਲਾਹ ਵਿੱਚ ਡਾਊਨਲੋਡ ਸਰੋਤਾਂ ਅਤੇ SHA-256 ਪੁਸ਼ਟੀਕਰਨ ਪੜਾਵਾਂ ਦੀ ਪਾਲਣਾ ਕਰੋ। 12

Go ਅਤੇ ਹੋਰ ਕੰਪਾਇਲ ਕੀਤੇ ਪ੍ਰੋਗਰਾਮ

Go ਲਈ ਫਿਕਸ ਨੇ crypto/x509 ਲਈ ਪ੍ਰਮਾਣਿਕਤਾ ਤਰਕ ਨੂੰ ਬਦਲ ਦਿੱਤਾ ਹੈ। 14 ਤੈਨਾਤੀ ਵਿਧੀ ਦੇ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਤੋਂ, ਡਿਵੈਲਪਮੈਂਟ ਮਸ਼ੀਨ ‘ਤੇ ਕੰਪਾਈਲਰ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨ ਨਾਲ ਪਹਿਲਾਂ ਤੋਂ ਤੈਨਾਤ ਬਾਈਨਰੀ ਨੂੰ ਦੁਬਾਰਾ ਨਹੀਂ ਲਿਖਿਆ ਜਾਵੇਗਾ। ਨਵੀਂ ਕੋਡ ਲੇਅਰ ਬਲਾਕਿੰਗ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ, ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਇਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ ਅਤੇ ਬਦਲਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਜਾਂ ਵਿਕਰੇਤਾ ਦੁਆਰਾ ਪ੍ਰਦਾਨ ਕੀਤਾ ਗਿਆ ਇੱਕ ਅੱਪਡੇਟ ਕੀਤਾ ਸੰਸਕਰਣ ਵਰਤਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਕੀ ਇੱਕ ਪੁਰਾਣਾ ਪਰੋਗਰਾਮ ਸਿਸਟਮ ਰੂਟ ਅੱਪਡੇਟ ਤੋਂ ਵੀ ਲਾਭ ਲੈ ਸਕਦਾ ਹੈ, ਇਹ ਉਸ ਦੁਆਰਾ ਵਰਤੇ ਜਾਣ ਵਾਲੇ ਅਸਲ ਪੁਸ਼ਟੀਕਰਨ ਮਾਰਗ ‘ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ।

ਕੰਟੇਨਰ ਅਤੇ ਪੈਕ ਕੀਤੇ ਐਪਲੀਕੇਸ਼ਨ

ਸਿਸਟਮ ਸਰਟੀਫਿਕੇਟ ਪੈਕੇਜ, ਐਪਲੀਕੇਸ਼ਨ ਨਿਰਭਰਤਾ ਅਤੇ ਕੰਟੇਨਰ ਵਿੱਚ ਰਨਟਾਈਮ ਆਮ ਤੌਰ ‘ਤੇ ਚਿੱਤਰ ਸਮੱਗਰੀ ਦੁਆਰਾ ਨਿਰਧਾਰਤ ਕੀਤੇ ਜਾਂਦੇ ਹਨ। ਮੇਜ਼ਬਾਨ ਅੱਪਡੇਟ ਚਿੱਤਰ ਸਮੱਗਰੀ ਅੱਪਡੇਟ ਦੇ ਬਰਾਬਰ ਨਹੀਂ ਹੈ; ਮੂਲ ਚਿੱਤਰ ਅਤੇ ਨਿਰਭਰਤਾਵਾਂ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨ ਦੀ ਲੋੜ ਹੈ, ਅਤੇ ਅਸਲ ਚੱਲ ਰਹੀ ਉਦਾਹਰਣ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਉਣ, ਤੈਨਾਤ ਕਰਨ ਅਤੇ ਜਾਂਚ ਕਰਨ ਦੀ ਲੋੜ ਹੈ। ਪੈਕਡ ਐਪਲੀਕੇਸ਼ਨਾਂ ਅਤੇ ਡੈਸਕਟੌਪ ਪ੍ਰੋਗਰਾਮ ਜੋ ਉਹਨਾਂ ਦੇ ਆਪਣੇ ਰਨਟਾਈਮ ਨਾਲ ਆਉਂਦੇ ਹਨ, ਨੂੰ ਵੀ ਵਿਕਰੇਤਾ ਰੀਲੀਜ਼ ਚੈਨਲਾਂ ਦੇ ਅਨੁਸਾਰ ਅਪਡੇਟ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। 7 10

6 ਮੁਰੰਮਤ ਲਾਗੂ ਕਰਨ ਦੇ ਨਿਰਦੇਸ਼

ਪਹਿਲਾਂ ਨਿਰੀਖਣ ਆਬਜੈਕਟ ਦਾ ਪਤਾ ਲਗਾਓ

ਉਹਨਾਂ ਸੇਵਾਵਾਂ ਲਈ ਹੇਠਾਂ ਦਿੱਤੀ ਜਾਣਕਾਰੀ ਨੂੰ ਰਿਕਾਰਡ ਕਰਨ ਦੀ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਜਿਨ੍ਹਾਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ ਦੀ ਲੋੜ ਹੈ, ਅਤੇ ਫਿਰ ਸੰਬੰਧਿਤ ਮੁਰੰਮਤ ਮਾਰਗ ਦੀ ਚੋਣ ਕਰੋ। ਇਹ ਇੱਕ ਤੈਨਾਤੀ ਚੈਕਲਿਸਟ ਹੈ ਅਤੇ ਹਰ ਸਿਸਟਮ ਉੱਤੇ ਸਾਰੇ ਭਾਗਾਂ ਨੂੰ ਮੌਜੂਦ ਹੋਣ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ।

ਪ੍ਰੋਜੈਕਟ	ਕੀ ਰਿਕਾਰਡ ਕਰਨ ਦੀ ਲੋੜ ਹੈ
ਐਪਲੀਕੇਸ਼ਨ ਅਤੇ ਵਰਤੋਂ	ਬ੍ਰਾਊਜ਼ਰ, ਭੁਗਤਾਨ API ਕਲਾਇੰਟ, ਈਮੇਲ ਭੇਜਣ ਦੀ ਸੇਵਾ, ਡਾਊਨਲੋਡ ਟੂਲ, ਰਿਵਰਸ ਪ੍ਰੌਕਸੀ, ਆਦਿ।
ਓਪਰੇਟਿੰਗ ਸਥਿਤੀ	ਹੋਸਟ, ਕੰਟੇਨਰ, ਵਰਚੁਅਲ ਮਸ਼ੀਨ, ਡੈਸਕਟਾਪ ਐਪਲੀਕੇਸ਼ਨ ਜਾਂ ਮੋਬਾਈਲ ਡਿਵਾਈਸ
ਲਾਗੂ ਕਰਨ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ	ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਵੈਲੀਡੇਟਰ, OpenSSL, Node, Python ਲਾਇਬ੍ਰੇਰੀ, Java ਜਾਂ ਐਪਲੀਕੇਸ਼ਨ ਕਸਟਮ ਲਾਗੂਕਰਨ
ਭਰੋਸੇਯੋਗ ਸਰੋਤ	ਸਿਸਟਮ CA ਪੈਕੇਜ, certifi, JDK ਟਰੱਸਟ ਸਟੋਰ, ਬਿਲਟ-ਇਨ CA bundle ਜਾਂ ਐਂਟਰਪ੍ਰਾਈਜ਼ ਸੰਰਚਨਾ
ਮੁਰੰਮਤ ਸਥਿਤੀ	ਇੰਸਟੌਲ ਕੀਤਾ ਸੰਸਕਰਣ, ਪੈਚ ਸਰੋਤ, ਕੀ ਰੀਸਟਾਰਟ ਕਰਨਾ ਹੈ ਜਾਂ ਦੁਬਾਰਾ ਡਿਪਲਾਇ ਕਰਨਾ ਹੈ
ਸਵੀਕ੍ਰਿਤੀ ਦੇ ਨਤੀਜੇ	ਕੀ ਪ੍ਰਭਾਵਿਤ ਚੇਨ ਨੂੰ ਅਸਵੀਕਾਰ ਕੀਤਾ ਗਿਆ ਹੈ, ਕੀ ਆਮ ਕਾਰੋਬਾਰੀ ਕੁਨੈਕਸ਼ਨ ਸਫਲ ਹੈ, ਅਤੇ ਜਾਂਚ ਦਾ ਸਮਾਂ

Cloudflare ਲਈ ਡਿਵੈਲਪਰ ਗਾਈਡ ਖਾਸ ਤੌਰ ‘ਤੇ ਦੱਸਦੀ ਹੈ ਕਿ SDK ਹੋਰ ਹਿੱਸਿਆਂ ਨੂੰ ਤਸਦੀਕ ਸੌਂਪ ਸਕਦਾ ਹੈ; ਸਿਰਫ਼ ਉੱਚ-ਪੱਧਰ ਦੇ SDK ਨੂੰ ਅੱਪਡੇਟ ਕਰਨਾ ਜ਼ਰੂਰੀ ਤੌਰ ‘ਤੇ ਅਸਲ ਟਰੱਸਟ ਨੀਤੀ ਨੂੰ ਨਹੀਂ ਬਦਲਦਾ। 7

ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਅਤੇ ਬ੍ਰਾਊਜ਼ਰ

Windows: ਸਵੈਚਲਿਤ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਟਰੱਸਟ ਸੂਚੀ ਅੱਪਡੇਟ ਨੂੰ ਸਮਰੱਥ ਅਤੇ ਪ੍ਰਮਾਣਿਤ ਕਰੋ। ਸਥਾਪਤ ਪ੍ਰਬੰਧਨ ਨੀਤੀਆਂ ਦੁਆਰਾ ਅੱਪਡੇਟ ਵੰਡੋ। ਔਫਲਾਈਨ ਡਿਵਾਈਸਾਂ ਜਾਂ ਆਟੋਮੈਟਿਕ ਅੱਪਡੇਟ ਅਸਮਰਥਿਤ ਡਿਵਾਈਸਾਂ ਲਈ ਇੱਕ ਉਚਿਤ ਪ੍ਰਬੰਧਨ ਪ੍ਰਕਿਰਿਆ ਦੁਆਰਾ ਲਾਗੂ ਕੀਤੇ ਬਲਾਕ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। ਉਹਨਾਂ ਪ੍ਰੋਗਰਾਮਾਂ ਦੀ ਜਾਂਚ ਕਰੋ ਜੋ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ Windows ਸਿਸਟਮ ਪ੍ਰਮਾਣਿਕਤਾ ਦੀ ਵਰਤੋਂ ਨਹੀਂ ਕਰਦੇ ਹਨ। 4

Apple ਪਲੇਟਫਾਰਮ: ਸੰਪੂਰਨ ਸਿਸਟਮ, ਸੁਰੱਖਿਆ ਭਾਗ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਅੱਪਡੇਟ। macOS ‘ਤੇ ਵਿਕਾਸ ਸਾਧਨਾਂ ਲਈ, ਇਸਦੇ TLS ਬੈਕਐਂਡ, ਸਰਟੀਫਿਕੇਟ ਫਾਈਲਾਂ ਅਤੇ ਸਥਾਪਨਾ ਸਰੋਤਾਂ ਦੀ ਵੀ ਜਾਂਚ ਕਰੋ। ਇਹ ਨਿਰਣਾ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਕਿ ਪੂਰੀ ਮਸ਼ੀਨ ਦੀ ਮੁਰੰਮਤ ਕੀਤੀ ਗਈ ਹੈ ਕਿਉਂਕਿ Safari ਨੇ ਟੈਸਟ ਚੇਨ ਨੂੰ ਰੱਦ ਕਰ ਦਿੱਤਾ ਹੈ। 4

Android: ਉਹਨਾਂ ਡਿਵਾਈਸਾਂ ‘ਤੇ Google Play ਸੇਵਾਵਾਂ ਨੂੰ ਅਪਡੇਟ ਕਰੋ ਜਿਨ੍ਹਾਂ ਕੋਲ ਇਹ ਹੈ। Google ਕਹਿੰਦਾ ਹੈ ਕਿ ਇੱਕ ਡਿਵਾਈਸ ਨੂੰ ਰੀਸਟਾਰਟ ਕਰਨਾ ਇੱਕ ਤਤਕਾਲ ਅਪਡੇਟ ਨੂੰ ਟਰਿੱਗਰ ਕਰ ਸਕਦਾ ਹੈ। ਉਹਨਾਂ ਸੇਵਾਵਾਂ ਤੋਂ ਬਿਨਾਂ ਡਿਵਾਈਸਾਂ ਲਈ, ਵਿਕਰੇਤਾ ਜਾਂ ROM ਸਲਾਹ ਦੀ ਪਾਲਣਾ ਕਰੋ; Google ਦੀ ਕਵਰੇਜ ਸਟੇਟਮੈਂਟ ਹਰ Android ਡਿਵਾਈਸ ‘ਤੇ ਆਪਣੇ ਆਪ ਲਾਗੂ ਨਹੀਂ ਹੁੰਦੀ ਹੈ। 1

Ubuntu/Debian: ਸਮਰਥਿਤ ਰਿਪੋਜ਼ਟਰੀਆਂ ਤੋਂ ਸਰਟੀਫਿਕੇਟ ਪੈਕੇਜ ਅੱਪਡੇਟ ਕਰੋ ਅਤੇ ਸਥਾਪਿਤ ਵੰਡ ਲਈ ਸਲਾਹਕਾਰ ਦੀ ਜਾਂਚ ਕਰੋ। ਉਦਾਹਰਨ ਲਈ, ਇੱਕ APT-ਅਧਾਰਿਤ ਸਿਸਟਮ ਵਰਤ ਸਕਦਾ ਹੈ:

sudo apt update
sudo apt install --only-upgrade ca-certificates
dpkg-query -W -f='${Package} ${Version}\n' ca-certificates

Ubuntu 22.04, 24.04, 26.04, ਅਤੇ 26.10 ਲਈ ਸੰਬੰਧਿਤ ਅੱਪਡੇਟ ਮਿਆਰੀ ਸਮਰਥਨ ਹਨ; ਪੁਰਾਣੇ ਸੰਸਕਰਣਾਂ ਨੂੰ ESM ਸਮਰਥਨ ਅਤੇ ਵੇਅਰਹਾਊਸ ਸਥਿਤੀ ਦੀ ਜਾਂਚ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ। ਕਮਾਂਡ ਦੇ ਸਫਲਤਾਪੂਰਵਕ ਸਮਾਪਤ ਹੋਣ ਤੋਂ ਬਾਅਦ, ਤੁਹਾਨੂੰ ਅਜੇ ਵੀ ਬੁਲੇਟਿਨ ਵਿੱਚ ਫਿਕਸ ਪੈਕ ਸੰਸਕਰਣ ਦੀ ਤੁਲਨਾ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ। 8 9

RHEL ਅਤੇ ਸੰਬੰਧਿਤ ਉਤਪਾਦ: ਉਤਪਾਦ ਚੈਨਲ ਦੁਆਰਾ ਸਰਟੀਫਿਕੇਟ ਪੈਕੇਜ ਅਤੇ ਸੁਰੱਖਿਆ ਇਰੱਟਾ ਦੀ ਜਾਂਚ ਕਰੋ। ਸੰਸਕਰਣ ਦੀ ਜਾਂਚ ਇਸਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ:

rpm -q ca-certificates

ਵਿਕਰੇਤਾ ਪੈਚ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਸਮਰਥਿਤ DNF/YUM ਅੱਪਡੇਟ ਵਿਧੀ ਦੀ ਵਰਤੋਂ ਕਰੋ; ਜੇਕਰ ਚੈਨਲ ਨੇ ਅਜੇ ਤੱਕ ਕੋਈ ਫਿਕਸ ਨਹੀਂ ਦਿੱਤਾ ਹੈ, ਤਾਂ “ਕੋਈ ਅੱਪਡੇਟ ਹੋਣ ਯੋਗ ਪੈਕੇਜ” ਨੂੰ ਸੁਰੱਖਿਅਤ ਨਾ ਸਮਝੋ। ਜਦੋਂ ਅਸਥਾਈ ਤੌਰ ‘ਤੇ ਰੂਟ ਟਰੱਸਟ ਨੂੰ ਹਟਾਉਣਾ ਜ਼ਰੂਰੀ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਨਿਰਮਾਤਾ ਦੁਆਰਾ ਸਪਸ਼ਟ ਤੌਰ ‘ਤੇ ਸੂਚੀਬੱਧ ਕੀਤੇ ਉਪਾਅ ਅਪਣਾਓ ਅਤੇ ਜਾਇਜ਼ ਕਾਰੋਬਾਰੀ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਅਨੁਕੂਲਤਾ ਦਾ ਮੁਲਾਂਕਣ ਕਰੋ। 10

FreeBSD: ਅਧਿਕਾਰਤ ਸਲਾਹਕਾਰ ਦੁਆਰਾ ਨਿਰਦੇਸ਼ਿਤ ਅਨੁਸਾਰ ਸੰਬੰਧਿਤ ਸਿਸਟਮ ਸ਼ਾਖਾ ਨੂੰ ਅੱਪਡੇਟ ਕਰੋ, ਫਿਰ ਪ੍ਰਭਾਵਿਤ OpenSSL ਟਰੱਸਟ ਕੌਂਫਿਗਰੇਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਡੈਮਨ ਨੂੰ ਮੁੜ ਚਾਲੂ ਕਰੋ ਜਾਂ ਸਿਸਟਮ ਨੂੰ ਰੀਬੂਟ ਕਰੋ। 11

ਐਪਲੀਕੇਸ਼ਨ ਅਤੇ ਚਿੱਤਰ

ਅਨੁਸਾਰੀ ਰਨਟਾਈਮ ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਨਿਰਭਰਤਾ ਅੱਪਡੇਟ ਨੂੰ ਪੂਰਾ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਪਾਥ ਦੀ ਜਾਂਚ ਕਰੋ ਜਿੱਥੇ ਸੇਵਾ ਅਸਲ ਵਿੱਚ ਚੱਲ ਰਹੀ ਹੈ ਤਾਂ ਜੋ ਟਰਮੀਨਲ ਇੱਕ ਨਵੇਂ ਸੰਸਕਰਣ ਵਿੱਚ ਬਦਲ ਗਿਆ ਹੋਵੇ ਅਤੇ ਡੈਮਨ ਅਜੇ ਵੀ ਪੁਰਾਣੀ ਇੰਸਟਾਲੇਸ਼ਨ ਡਾਇਰੈਕਟਰੀ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਬਹੁ-ਵਾਤਾਵਰਣ Python, ਸੇਵਾ ਕੰਟੇਨਰਾਂ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨਾਂ ਲਈ ਜੋ ਉਹਨਾਂ ਦੇ ਆਪਣੇ ਰਨਟਾਈਮ ਨਾਲ ਆਉਂਦੇ ਹਨ, ਉਹਨਾਂ ਦੀ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ ਜਾਂਚ ਕੀਤੀ ਜਾਣੀ ਚਾਹੀਦੀ ਹੈ।

ਉਹਨਾਂ ਭਾਗਾਂ ਲਈ ਜਿਨ੍ਹਾਂ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੈ, ਬਿਲਡ ਸੰਸਕਰਣ, ਨਿਰਭਰਤਾ ਸੰਸਕਰਣ, ਅਤੇ ਤੈਨਾਤੀ ਚਿੱਤਰ ID ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰੋ। ਸਵੀਕ੍ਰਿਤੀ ਆਬਜੈਕਟ ਅਸਲ ਚੱਲ ਰਹੀ ਉਦਾਹਰਣ ਹੈ ਅਤੇ ਬਿਲਡ ਮਸ਼ੀਨ ਜਾਂ ਚਿੱਤਰ ਰਜਿਸਟਰੀ ਵਿੱਚ ਨਵੇਂ ਟੈਗ ਦੀ ਜਾਂਚ ਨਹੀਂ ਕਰ ਸਕਦਾ ਹੈ। 7 12 14

ਵੈੱਬਸਾਈਟ ਸਰਟੀਫਿਕੇਟ ਮਾਈਗ੍ਰੇਸ਼ਨ

ਜੇਕਰ ਕਿਸੇ ਵੈੱਬਸਾਈਟ ਦੀ ਚੇਨ ਵਿੱਚ ਇੱਕ ਰੱਦ ਕੀਤਾ ਜਾਂ ਬਲੌਕ ਕੀਤਾ ਇੰਟਰਮੀਡੀਏਟ CA ਹੈ, ਜਾਂ ਆਖਰਕਾਰ ਇੱਕ ਅਵਿਸ਼ਵਾਸੀ ਰੂਟ ‘ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ, ਤਾਂ ਇੱਕ ਹੋਰ ਚੇਨ ਪ੍ਰਾਪਤ ਕਰੋ ਜੋ ਗਾਹਕ ਅਜੇ ਵੀ ਸਵੀਕਾਰ ਕਰਦੇ ਹਨ। ਪੂਰੀ ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਚੇਨ ਨੂੰ ਸਥਾਪਿਤ ਕਰੋ ਅਤੇ ਲੋਡ ਬੈਲੈਂਸਰ, ਰਿਵਰਸ ਪ੍ਰੌਕਸੀਜ਼, CDN ਐਂਡਪੁਆਇੰਟਸ, ਅਤੇ ਸਿੱਧੇ ਪਹੁੰਚਯੋਗ ਮੂਲ ਸਮੇਤ ਹਰ ਪ੍ਰਵੇਸ਼ ਦੀ ਜਾਂਚ ਕਰੋ। 1 5

ਕੀ ਮਾਈਗ੍ਰੇਸ਼ਨ ਦੀ ਲੋੜ ਹੈ, ਅਸਲ ਲੜੀ ‘ਤੇ ਆਧਾਰਿਤ ਹੈ। ਸਿਰਫ਼ ਸਰਟੀਫਿਕੇਟ ਸੇਲਜ਼ ਬ੍ਰਾਂਡ ਦੁਆਰਾ ਫਿਲਟਰ ਕਰਨ ਨਾਲ ਰੀਸੇਲ ਜਾਂ ਕਰਾਸ-ਦਸਤਖਤ ਸਬੰਧ ਖੁੰਝ ਸਕਦੇ ਹਨ; ਸਿਰਫ਼ ਨਿਯਮਤ ਮਿਆਦ ਪੁੱਗਣ ਦੇ ਨਵੀਨੀਕਰਨ ਦੀ ਉਡੀਕ ਕਰਨਾ ਜ਼ਰੂਰੀ ਤੌਰ ‘ਤੇ ਰੂਟ ਸਟੋਰ ਦੇ ਅੱਪਡੇਟ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਮਾਈਗ੍ਰੇਸ਼ਨ ਨੂੰ ਪੂਰਾ ਨਹੀਂ ਕਰ ਸਕਦਾ।

CA ਦੁਆਰਾ ਜਾਰੀ ਕੀਤੇ ਗਏ ਹੋਰ ਆਮ ਵੈੱਬਸਾਈਟ ਪ੍ਰਮਾਣ-ਪੱਤਰਾਂ ਲਈ ਜੋ ਪ੍ਰਭਾਵਿਤ ਰੂਟ ‘ਤੇ ਭਰੋਸਾ ਨਹੀਂ ਕਰਦੇ, ਇਸ ਘਟਨਾ ਦੇ ਕਾਰਨ ਉਹਨਾਂ ਨੂੰ ਦੁਬਾਰਾ ਹਸਤਾਖਰ ਕਰਨ ਦੀ ਕੋਈ ਲੋੜ ਨਹੀਂ ਹੈ। ਇਸ ਦੇ ਨਾਲ ਹੀ, ਬਾਹਰੀ ਸੇਵਾਵਾਂ ਨੂੰ ਕਾਲ ਕਰਨ ਵੇਲੇ ਵੈੱਬਸਾਈਟ ਸਰਵਰ ਨੂੰ ਖੁਦ ਵੀ ਕਲਾਇੰਟ-ਸਾਈਡ ਮੁਰੰਮਤ ਜਾਂਚ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ।

7 ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਫਿਕਸ ਅਸਲ ਵਿੱਚ ਲਾਗੂ ਹੁੰਦਾ ਹੈ

ਸੰਸਕਰਣ ਜਾਂਚ ਅਤੇ ਵਿਵਹਾਰ ਦੀ ਜਾਂਚ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ ਕੀਤੀ ਜਾਂਦੀ ਹੈ

ਸੰਸਕਰਣ ਜਾਂਚਾਂ ਦੀ ਵਰਤੋਂ ਇਹ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਕਿ ਪੈਚ ਜਾਂ ਫਿਕਸਡ ਕੰਪੋਨੈਂਟ ਤਾਇਨਾਤ ਕੀਤੇ ਗਏ ਹਨ; ਵਿਹਾਰ ਸੰਬੰਧੀ ਜਾਂਚਾਂ ਦੀ ਵਰਤੋਂ ਇਹ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਕਿ ਐਪਲੀਕੇਸ਼ਨ ਅਸਲ ਵਿੱਚ ਸੰਭਾਵਿਤ ਪੁਸ਼ਟੀਕਰਨ ਮਾਰਗ ਦੀ ਵਰਤੋਂ ਕਰਦੀ ਹੈ। ਦੋ ਚੈੱਕ ਵੱਖ-ਵੱਖ ਸਮੱਸਿਆਵਾਂ ਨੂੰ ਹੱਲ ਕਰਦੇ ਹਨ, ਅਤੇ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕਿਸੇ ਨੂੰ ਵੀ “ਅਪਡੇਟ ਕਮਾਂਡ ਸਫਲਤਾਪੂਰਵਕ ਚਲਾਇਆ ਗਿਆ” ਦੁਆਰਾ ਬਦਲਿਆ ਨਹੀਂ ਜਾ ਸਕਦਾ ਹੈ।

ਇਵੈਂਟ ਮੇਨਟੇਨਰ ਟੈਸਟ ਸਾਈਟ ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਚੇਨ ਸਮੱਗਰੀ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ, ਅਤੇ ਪ੍ਰਵੇਸ਼ ਦੁਆਰ ਅੰਤਿਕਾ 4 ਵਿੱਚ ਕੇਂਦਰਿਤ ਹੈ। ਇਹ ਟੀਚਾ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਅਸਲ ਓਪਰੇਟਿੰਗ ਵਾਤਾਵਰਣ ਵਿੱਚ ਪ੍ਰਮਾਣਿਤ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਆਮ ਸਰਟੀਫਿਕੇਟ ਤਸਦੀਕ ਸੰਰਚਨਾ ਨੂੰ ਕਾਇਮ ਰੱਖਦੇ ਹੋਏ। 4 7

ਨਤੀਜਿਆਂ ਦੀ ਜਾਂਚ ਕਰੋ	ਸਿੱਟੇ ਕੱਢੇ ਜਾ ਸਕਦੇ ਹਨ
ਸਪੱਸ਼ਟ ਤੌਰ ‘ਤੇ ਅਸਵੀਕਾਰ ਕਰੋ ਕਿਉਂਕਿ ਪ੍ਰਭਾਵਿਤ ਚੇਨ ਭਰੋਸੇਯੋਗ ਨਹੀਂ ਹੈ	ਇਹ ਦਰਸਾਉਂਦਾ ਹੈ ਕਿ ਜਾਂਚ ਕੀਤੇ ਜਾ ਰਹੇ ਪੁਸ਼ਟੀਕਰਨ ਮਾਰਗ ਨੇ ਚੇਨ ਨੂੰ ਰੱਦ ਕਰ ਦਿੱਤਾ ਹੈ
ਪ੍ਰਭਾਵਿਤ ਚੇਨ ਨੂੰ ਆਮ ਤੌਰ ‘ਤੇ ਸਵੀਕਾਰ ਕਰੋ	ਦਰਸਾਉਂਦਾ ਹੈ ਕਿ ਇਸ ਮਾਰਗ ਦੀ ਮੁਰੰਮਤ ਜਾਂ ਸੰਰਚਨਾ ਦੀ ਜਾਂਚ ਜਾਰੀ ਰੱਖਣ ਦੀ ਲੋੜ ਹੈ।
DNS ਤਰੁੱਟੀ, ਕਨੈਕਸ਼ਨ ਦਾ ਸਮਾਂ ਸਮਾਪਤ, ਪ੍ਰੌਕਸੀ ਅਸਵੀਕਾਰ ਜਾਂ ਸੇਵਾ ਪਹੁੰਚਯੋਗ ਨਹੀਂ ਹੈ	ਇਹ ਸਿੱਟਾ ਨਹੀਂ ਕੱਢਿਆ ਜਾ ਸਕਦਾ ਹੈ ਕਿ ਇਸ ਦੇ ਅਧਾਰ ‘ਤੇ ਸਰਟੀਫਿਕੇਟ ਜੋਖਮ ਨੂੰ ਖਤਮ ਕਰ ਦਿੱਤਾ ਗਿਆ ਹੈ।
ਬ੍ਰਾਊਜ਼ਰ ਅਸਵੀਕਾਰ ਕਰਦਾ ਹੈ, ਪਰ ਐਪ ਕਾਲ ਦੀ ਜਾਂਚ ਨਹੀਂ ਕੀਤੀ ਗਈ	ਇਹ ਸਿਰਫ਼ ਬ੍ਰਾਊਜ਼ਰ ਦੀ ਪੁਸ਼ਟੀ ਕਰ ਸਕਦਾ ਹੈ, ਨਾ ਕਿ ਬੈਕਗ੍ਰਾਊਂਡ ਪ੍ਰੋਗਰਾਮ।
A ਚੇਨ ਨੂੰ ਅਸਵੀਕਾਰ ਕੀਤਾ ਗਿਆ ਸੀ	ਅਜੇ ਵੀ ਇਸ ਗੱਲ ‘ਤੇ ਵਿਚਾਰ ਕਰਨ ਦੀ ਲੋੜ ਹੈ ਕਿ ਕੀ ਕਲਾਇੰਟ ਕਿਸੇ ਹੋਰ ਕਰਾਸ-ਸਾਈਨਿੰਗ ਮਾਰਗ ਨੂੰ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ

ਟੈਸਟ ਵਿੱਚ ਸਾਰੀਆਂ ਬੇਨਤੀਆਂ ਦੀਆਂ ਅਸਫਲਤਾਵਾਂ ਨੂੰ ਗਲਤੀ ਤੋਂ ਬਚਣ ਲਈ ਸਧਾਰਣ ਵਪਾਰਕ ਕਨੈਕਸ਼ਨਾਂ ਨੂੰ ਵੀ ਕਵਰ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ ਕਿਉਂਕਿ ਕਾਰੋਬਾਰੀ ਅਸਫਲਤਾਵਾਂ ਤੋਂ ਬਾਅਦ ਸਫਲ ਮੁਰੰਮਤ ਬਹੁਤ ਜ਼ਿਆਦਾ ਭਰੋਸੇ ਨੂੰ ਹਟਾਉਣ ਕਾਰਨ ਹੁੰਦੀ ਹੈ।

ਸੁਝਾਏ ਗਏ ਮੁਕੰਮਲ ਹੋਣ ਦੀਆਂ ਸ਼ਰਤਾਂ

ਪ੍ਰਭਾਵਿਤ ਭਾਗਾਂ ਦੇ ਅੱਪਡੇਟ ਸਰੋਤ ਅਤੇ ਸੰਸਕਰਣ ਦਸਤਾਵੇਜ਼ੀ ਹਨ।
ਅਨੁਸਾਰੀ ਚੱਲ ਰਹੀ ਉਦਾਹਰਨ ਨੂੰ ਮੁੜ ਚਾਲੂ ਕੀਤਾ ਗਿਆ ਹੈ, ਦੁਬਾਰਾ ਬਣਾਇਆ ਗਿਆ ਹੈ, ਜਾਂ ਮੁੜ ਤੈਨਾਤ ਕੀਤਾ ਗਿਆ ਹੈ।
ਅਸਲ ਐਪਲੀਕੇਸ਼ਨ ਪ੍ਰਭਾਵਿਤ ਚੇਨ ਨੂੰ ਰੱਦ ਕਰਦੀ ਹੈ, ਅਤੇ ਆਮ ਕਾਰੋਬਾਰ ਲਈ TLS ਤਸਦੀਕ ਕੰਮ ਕਰਨਾ ਜਾਰੀ ਰੱਖਦਾ ਹੈ।
ਕਨੈਕਸ਼ਨ ਨੂੰ ਬਹਾਲ ਕਰਨ ਲਈ ਅਸਥਾਈ ਤੌਰ ‘ਤੇ ਸਰਟੀਫਿਕੇਟ ਪੁਸ਼ਟੀਕਰਨ ਨੂੰ ਬੰਦ ਕਰਨ ਲਈ ਕੋਈ ਸੰਰਚਨਾ ਨਹੀਂ ਹੈ।
ਜੇਕਰ ਵੈੱਬਸਾਈਟ ਸਰਟੀਫਿਕੇਟ ਮਾਈਗ੍ਰੇਸ਼ਨ ਸ਼ਾਮਲ ਹੈ, ਤਾਂ ਸਾਰੇ ਬਾਹਰੀ ਪ੍ਰਵੇਸ਼ ਦੁਆਰ ਬਦਲ ਦਿੱਤੇ ਗਏ ਹਨ ਅਤੇ ਤਸਦੀਕ ਕੀਤੇ ਗਏ ਹਨ।

ਉਪਰੋਕਤ ਮੁਕੰਮਲ ਹੋਣ ਦੀਆਂ ਸ਼ਰਤਾਂ ਇਸ ਨਿਪਟਾਰੇ ਲਈ ਸੰਚਾਲਨ ਅਤੇ ਰੱਖ-ਰਖਾਅ ਦੀ ਸਵੀਕ੍ਰਿਤੀ ਲਈ ਸੁਝਾਅ ਹਨ; ਇਹ ਸਾਬਤ ਕਰਨ ਦੇ ਬਰਾਬਰ ਨਹੀਂ ਹੈ ਕਿ ਉਪਕਰਨਾਂ ਵਿੱਚ ਕੋਈ ਹੋਰ ਸੁਰੱਖਿਆ ਮੁੱਦੇ ਨਹੀਂ ਹਨ।

8 ਇਤਿਹਾਸਕ HTTPS ਟ੍ਰੈਫਿਕ ਅਤੇ ਜੋਖਮ ਸੀਮਾਵਾਂ

ਤਿੰਨ ਕਿਸਮ ਦੀਆਂ ਕੁੰਜੀਆਂ ਦੇ ਵੱਖੋ ਵੱਖਰੇ ਉਪਯੋਗ ਹਨ

ਕੁੰਜੀ	ਮੁੱਖ ਉਦੇਸ਼
CA ਨਿੱਜੀ ਕੁੰਜੀ	ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਪਛਾਣ ਅਤੇ ਜਨਤਕ ਕੁੰਜੀ ਬਾਈਡਿੰਗ ‘ਤੇ ਦਸਤਖਤ ਕਰੋ
ਵੈੱਬਸਾਈਟ ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ	ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਮਾਣਿਤ TLS ਹੈਂਡਸ਼ੇਕ ਵਿੱਚ ਸਰਵਰ ਪਛਾਣ ਸਾਬਤ ਕਰੋ
ਸੈਸ਼ਨ ਕੁੰਜੀ	ਅਸਲ ਵਿੱਚ ਇੱਕ ਕਨੈਕਸ਼ਨ ‘ਤੇ ਪ੍ਰਸਾਰਿਤ ਕੀਤੇ ਗਏ ਡੇਟਾ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰੋ

CA ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ ਪ੍ਰਾਪਤ ਕਰਨਾ ਵੈਬਸਾਈਟ ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ ਜਾਂ ਸਾਰੀਆਂ ਸੈਸ਼ਨ ਕੁੰਜੀਆਂ ਪ੍ਰਾਪਤ ਕਰਨ ਦੇ ਬਰਾਬਰ ਨਹੀਂ ਹੈ। A ਅਸਥਾਈ ਕੁੰਜੀ ਐਕਸਚੇਂਜ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਫਾਰਵਰਡ ਗੁਪਤਤਾ ਦੇ ਨਾਲ ਸਧਾਰਣ ਕਨੈਕਸ਼ਨ ਆਪਣੇ ਆਪ ਹੀ ਇਤਿਹਾਸਕ ਸੈਸ਼ਨਾਂ ਦਾ ਪਰਦਾਫਾਸ਼ ਨਹੀਂ ਕਰੇਗਾ ਕਿਉਂਕਿ ਲੰਬੇ ਸਮੇਂ ਦੀ ਸਾਈਨਿੰਗ ਕੁੰਜੀ ਨੂੰ ਬਾਅਦ ਵਿੱਚ ਸਮਝੌਤਾ ਕੀਤਾ ਗਿਆ ਹੈ। TLS 1.3 ਦੀਆਂ ਸੰਬੰਧਿਤ ਸੁਰੱਖਿਆ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਲਈ, RFC 8446 ਦੇਖੋ। 16

ਇਸ ਵਾਰ ਪ੍ਰਮਾਣੀਕਰਨ ਪੜਾਅ ਦੌਰਾਨ ਮੁੱਖ ਜੋਖਮ ਹੁੰਦਾ ਹੈ: ਜੇਕਰ ਕਲਾਇੰਟ ਜਾਅਲੀ ਸਰਵਰ ਦੇ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ, ਤਾਂ ਇਹ ਹਮਲਾਵਰ ਨਾਲ ਇੱਕ ਕਨੈਕਸ਼ਨ ਸਥਾਪਤ ਕਰ ਸਕਦਾ ਹੈ ਜੋ ਅਜੇ ਵੀ ਏਨਕ੍ਰਿਪਟ ਕੀਤਾ ਗਿਆ ਹੈ। TLS 1.3 ਨੂੰ ਵੀ ਭਰੋਸੇਯੋਗ ਪ੍ਰਮਾਣਿਕਤਾ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ; ਸਿਰਫ਼ ਪ੍ਰੋਟੋਕੋਲ ਸੰਸਕਰਣ ਨੂੰ ਅਪਗ੍ਰੇਡ ਕਰਨਾ CA ਨੂੰ ਬਲੌਕ ਕਰਨ ਦਾ ਬਦਲ ਨਹੀਂ ਹੈ।

ਨਿਰਣੇ ਜੋ ਵਰਤਮਾਨ ਵਿੱਚ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ ਅਤੇ ਨਹੀਂ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ

ਪੁਸ਼ਟੀ: ਖਾਸ ਵਿਚਕਾਰਲੇ CA ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀਆਂ ਨਾਲ ਸਮਝੌਤਾ ਕੀਤਾ ਗਿਆ ਹੈ; ਪ੍ਰਭਾਵਿਤ ਜਨਤਕ ਟਰੱਸਟ ਮਾਰਗਾਂ ਦੀ ਪਹੁੰਚ ਵਿਆਪਕ ਹੈ; ਪ੍ਰਮੁੱਖ ਪਲੇਟਫਾਰਮਾਂ ਅਤੇ ਕਈ ਸਾਫਟਵੇਅਰ ਈਕੋਸਿਸਟਮ ਨੇ ਕਾਰਵਾਈ ਕੀਤੀ ਹੈ। 1 4 5

ਇਸ ਘਟਨਾ ਦੁਆਰਾ ਸਥਾਪਿਤ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ: ਕਿ ਸਾਰੇ ਉਪਭੋਗਤਾਵਾਂ ਨੇ ਮੈਨ-ਇਨ-ਦ-ਮਿਡਲ ਹਮਲਿਆਂ ਦਾ ਅਨੁਭਵ ਕੀਤਾ ਹੈ, ਕਿ ਹੋਰ CA ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀਆਂ ਨਾਲ ਸਮਝੌਤਾ ਕੀਤਾ ਗਿਆ ਹੈ, ਕਿ ਸਾਰੇ ਇਤਿਹਾਸਕ HTTPS ਟ੍ਰੈਫਿਕ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਨ ਯੋਗ ਹੈ, ਜਾਂ ਜੋ ਹਰ ਇੱਕ ਡਿਵਾਈਸ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨ ਵਾਲੇ ਬ੍ਰਾਊਜ਼ਰ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਦਾ ਹੈ।

ਕਿਸੇ ਖਾਸ ਸੇਵਾ ਬਾਰੇ ਅੰਤਮ ਨਿਰਣਾ ਇਸਦੀ ਸਰਟੀਫਿਕੇਟ ਚੇਨ, ਤਸਦੀਕ ਨੀਤੀ, ਅਸਲ ਚੱਲ ਰਹੇ ਭਾਗਾਂ ਅਤੇ ਅੱਪਡੇਟ ਸਥਿਤੀ ‘ਤੇ ਅਧਾਰਤ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਇਹ ਨਹੀਂ ਕਿ ਪਤਾ ਪੱਟੀ HTTPS ਪੜ੍ਹਦੀ ਹੈ ਜਾਂ ਨਹੀਂ।

ਅੰਤਿਕਾ A ਪ੍ਰਭਾਵਿਤ ਇੰਟਰਮੀਡੀਏਟ CA ਨਾਮ

ਹੇਠਾਂ ਦਿੱਤੇ ਨਾਮ ਸੰਪੱਤੀ ਜਾਂਚਾਂ ਵਿੱਚ ਸਹਾਇਤਾ ਕਰਦੇ ਹਨ। ਨਾਮ ਸਰਟੀਫਿਕੇਟ ਫਿੰਗਰਪ੍ਰਿੰਟਸ ਜਾਂ ਜਨਤਕ-ਕੁੰਜੀ ਪਛਾਣਕਰਤਾਵਾਂ ਨੂੰ ਨਹੀਂ ਬਦਲਦੇ ਹਨ। ਸਵੈਚਲਿਤ ਮੇਲ ਖਾਂਦਾ ਕ੍ਰਾਸ-ਹਸਤਾਖਰਿਤ ਸਰਟੀਫਿਕੇਟਾਂ ਸਮੇਤ, ਘਟਨਾ ਪ੍ਰਬੰਧਕਾਂ ਜਾਂ ਵਿਕਰੇਤਾਵਾਂ ਦੁਆਰਾ ਪ੍ਰਕਾਸ਼ਿਤ ਸਹੀ ਪਛਾਣਕਰਤਾਵਾਂ ਦੀ ਵਰਤੋਂ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ। 5

ਮੱਧ CA	ਮਕਸਦ	ਸਬੰਧਤ ਸੰਸਥਾਵਾਂ
EM EV TLS CA - G3B	TLS	eMudhra BV
EM OV TLS CA - G3B	TLS	eMudhra BV
EM DV TLS CA - G3B	TLS	eMudhra BV
EM EV TLS CA - G3C	TLS	eMudhra Inc
EM OV TLS CA - G3C	TLS	eMudhra Inc
EM DV TLS CA - G3C	TLS	eMudhra Inc
EM OV CS CA - G3B	ਕੋਡ ਦਸਤਖਤ	eMudhra BV
EM OV CS CA - G3C	ਕੋਡ ਦਸਤਖਤ	eMudhra Inc

TLS ਬਿਲਕੁਲ ਉਹੀ ਪ੍ਰਮਾਣਕ ਅਤੇ ਰੱਦ ਕਰਨ ਦੀ ਵਿਧੀ ਨਹੀਂ ਹੈ ਜੋ ਕੋਡ ਸਾਈਨਿੰਗ ਹੈ। ਇਸ ਲੇਖ ਦਾ ਫੋਕਸ HTTPS/TLS ਹੈ; ਕੋਡ ਦਸਤਖਤ ਕਰਨ ਵਾਲੇ ਵਾਤਾਵਰਣ ਨੂੰ ਇਸ ਪੁਸ਼ਟੀਕਰਨ ਉਦੇਸ਼ ਲਈ Microsoft, JDK ਜਾਂ ਸੰਬੰਧਿਤ ਸੌਫਟਵੇਅਰ ਵਿਕਰੇਤਾਵਾਂ ਨੂੰ ਅਪਣਾਉਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਬ੍ਰਾਊਜ਼ਰ ਟੈਸਟ ਦੇ ਨਤੀਜਿਆਂ ਨੂੰ ਕੋਡ ਸਾਈਨਿੰਗ ਸਵੀਕ੍ਰਿਤੀ ਵਜੋਂ ਨਹੀਂ ਮੰਨਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। 5 15

ਅੰਤਿਕਾ B ਹਵਾਲਾ ਲਿੰਕ

ਨਿਮਨਲਿਖਤ ਸਰੋਤਾਂ ਦੀ ਪੁਸ਼ਟੀ 22 ਅਕਤੂਬਰ, 2026 ਨੂੰ ਕੀਤੀ ਗਈ ਸੀ। ਰੋਲਿੰਗ ਘੋਸ਼ਣਾ ਨੂੰ ਅਪਡੇਟ ਕੀਤਾ ਜਾਣਾ ਜਾਰੀ ਰਹਿ ਸਕਦਾ ਹੈ, ਅਤੇ ਟੈਕਸਟ ਵਿੱਚ ਸਥਿਤੀ ਅਤੇ ਸੰਸਕਰਣ ਨੂੰ ਇਸ ਦਸਤਾਵੇਜ਼ ਦੀ ਮਿਤੀ ਦੇ ਅਧਾਰ ‘ਤੇ ਸਮਝਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ।

ਘਟਨਾ ਦੇ ਤੱਥ ਅਤੇ ਪਲੇਟਫਾਰਮ ਹੈਂਡਲਿੰਗ

[1] Google Chrome ਅਤੇ Android ਅਧਿਕਾਰਤ ਘੋਸ਼ਣਾ ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ ਖਾਮੀਆਂ, SPKI ਬਲਾਕਿੰਗ, Google Play ਸੇਵਾ ਵੰਡ, CT ਸੁਰੱਖਿਆ, ਅਤੇ Chrome ਰੂਟ ਰਿਪੋਜ਼ਟਰੀ ਹਟਾਉਣ ਦੀਆਂ ਯੋਜਨਾਵਾਂ ਦਾ ਵਰਣਨ ਕਰਦਾ ਹੈ। Protecting Chrome and Android Users from Compromised eMudhra Intermediate CA Certificates

[2] Mozilla Bugzilla 2083449 ਇਵੈਂਟ ਰਿਕਾਰਡ ਮੂਲ ਰਿਪੋਰਟਾਂ, ਸੁਤੰਤਰ ਤਸਦੀਕ, ਪੀੜ੍ਹੀ ਪ੍ਰਕਿਰਿਆ ਦੀ ਜਾਂਚ, Firefox Android ਲਈ ਬਾਅਦ ਦੇ ਫਿਕਸ, ਅਤੇ ਕਾਨੂੰਨੀ ਸਰਟੀਫਿਕੇਟ ਮਾਈਗ੍ਰੇਸ਼ਨ ਚਰਚਾਵਾਂ ਸ਼ਾਮਲ ਹਨ; ਟਿੱਪਣੀਆਂ 5, 11, 29, ਅਤੇ 30 ‘ਤੇ ਧਿਆਨ ਕੇਂਦਰਤ ਕਰੋ। eMudhra Private key compromise of Intermediate Certificates

[3] Mozilla Firefox ਸੁਰੱਖਿਆ ਨੋਟਿਸ OneCRL ਸੰਕਟਕਾਲੀਨ ਵੰਡ ਅਤੇ ਬਾਅਦ ਵਿੱਚ Firefox/NSS ਨਿਪਟਾਰੇ ਦਾ ਵੇਰਵਾ। Protecting Firefox users following the compromise of eMudhra intermediate certificates

[4] ਇਵੈਂਟ ਕੋਆਰਡੀਨੇਟਰ Dennis Jackson ਰੱਖ-ਰਖਾਅ ਸੰਖੇਪ ਅਤੇ ਖੋਜ ਪੋਰਟਲ ਪਲੇਟਫਾਰਮ ਅਤੇ ਸੌਫਟਵੇਅਰ ਮੁਰੰਮਤ ਸਥਿਤੀ, ਟੈਸਟ ਪ੍ਰਵੇਸ਼ ਦੁਆਰ, ਜਨਤਕ ਸਰਟੀਫਿਕੇਟ ਚੇਨ ਸਮੱਗਰੀ, ਅਤੇ Windows/macOS ਵਰਗੇ ਵਾਤਾਵਰਣਾਂ ‘ਤੇ ਪੂਰਕ ਨਿਰਦੇਸ਼ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਟੈਸਟ ਦੇ ਨਤੀਜੇ ਸਿਰਫ਼ ਟੈਸਟ ਕੀਤੇ ਗਏ ਅਸਲ ਪੁਸ਼ਟੀਕਰਨ ਮਾਰਗਾਂ ਨੂੰ ਦਰਸਾਉਂਦੇ ਹਨ। eMudhra Intermediate CA Compromise

[5] Mozilla ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨ ਅਤੇ ਟਰੱਸਟ ਸਟੋਰ ਮੇਨਟੇਨਰਾਂ ਨੂੰ ਨੋਟਿਸ 6 TLS ਅਤੇ 2 ਕੋਡ ਸਾਈਨਿੰਗ ਇੰਟਰਮੀਡੀਏਟਸ CA, Sectigo ਕਰਾਸ-ਸਾਈਨਿੰਗ, ਰੱਦ ਕਰਨ, ਅਤੇ ਰੂਟ ਟਰੱਸਟ ਪ੍ਰੋਸੈਸਿੰਗ ਸੀਮਾਵਾਂ ਦਾ ਵਰਣਨ ਕਰਦਾ ਹੈ, ਅਤੇ ਸਹੀ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਜਨਤਕ ਕੁੰਜੀ ਪਛਾਣ ਨੂੰ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ। oss-security eMudhra Intermediates Compromise

[6] eMudhra ਅਧਿਕਾਰਤ ਇਵੈਂਟ ਸਟੇਟਮੈਂਟ ਕੁੰਜੀ ਬਣਾਉਣ ਦੀ ਪ੍ਰਕਿਰਿਆ ਦੀ ਨਿਰਮਾਤਾ ਦੀ ਸ਼ੁਰੂਆਤੀ ਵਿਆਖਿਆ ਪ੍ਰਦਾਨ ਕਰੋ; ਸਹੀ ਮੂਲ ਕਾਰਨ ਅਜੇ ਵੀ ਪੂਰੀ ਜਾਂਚ ਦੇ ਸਿੱਟੇ ਦੇ ਅਧੀਨ ਹੋਵੇਗਾ। eMudhra Statement on Recent Certificate Security Incident

[7] Cloudflare ਅਧਿਕਾਰਤ ਘਟਨਾ ਅਤੇ ਮੁਰੰਮਤ ਨਿਰਦੇਸ਼ WARP, Cloudflare Tunnel, ਮੂਲ ਸਾਈਟ ਪੁਸ਼ਟੀਕਰਨ, ਰਨਟਾਈਮ ਨਿਰਭਰਤਾ, ਚਿੱਤਰ ਅੱਪਡੇਟ ਅਤੇ ਪੁਸ਼ਟੀਕਰਨ ਵਿਧੀਆਂ ਨੂੰ ਕਵਰ ਕਰਦਾ ਹੈ। 8 eMudhra certificates are compromised Here is what you need to know

ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਅਤੇ ਵੰਡ

[8] Ubuntu ਅਧਿਕਾਰਤ ਮੁਰੰਮਤ ਘੋਸ਼ਣਾ ca-certificates ਫਿਕਸ ਪੈਕੇਜਾਂ, ਸਹਾਇਤਾ ਚੈਨਲਾਂ ਅਤੇ ਹਰੇਕ ਸੰਸਕਰਣ ਲਈ ਨਿਸ਼ਾਨਾ ਅੱਪਡੇਟ ਪੜਾਅ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ। eMudhra CA compromise fixes available

[9] Debian ਅਧਿਕਾਰਤ ਸਮੱਸਿਆ ਅਤੇ ਮੁਰੰਮਤ ਦਾ ਰਿਕਾਰਡ ਮੇਨਟੇਨਰ ਦੇ ਫਿਕਸ ਰਿਕਾਰਡ ਅਤੇ ਸੰਬੰਧਿਤ ਰੀਲੀਜ਼ ਪੈਕੇਜ ਨੂੰ ਸਟੈਂਡਰਡ ਵਜੋਂ ਲਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਸਮੱਸਿਆ ਦੀ ਚਰਚਾ ਵਿੱਚ ਸ਼ੁਰੂਆਤੀ ਅਸਥਾਈ ਸੁਝਾਵਾਂ ਨੂੰ ਅੰਤਮ ਹੱਲ ਨਹੀਂ ਮੰਨਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। Debian bug 1151413 eMudhra Intermediate CA key compromise

[10] Red Hat ਅਧਿਕਾਰਤ ਸੁਰੱਖਿਆ ਬੁਲੇਟਿਨ RHSB 2026 012 RHEL 6 ਦੁਆਰਾ 10, ਸੰਬੰਧਿਤ ਉਤਪਾਦ ਅਤੇ ਕੰਟੇਨਰ ਪ੍ਰਭਾਵਾਂ ਨੂੰ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ, ਅਤੇ ਰਿਲੀਜ਼ ਅਤੇ ਅੰਤਰਿਮ ਨਿਪਟਾਰੇ ਦੀਆਂ ਐਂਟਰੀਆਂ ਨੂੰ ਠੀਕ ਕਰਦਾ ਹੈ। Certificate compromise eMudhra

[11] FreeBSD ਅਧਿਕਾਰਤ ਸੁਰੱਖਿਆ ਬੁਲੇਟਿਨ ਪ੍ਰਭਾਵਿਤ ਸਿਸਟਮ ਸ਼ਾਖਾਵਾਂ, ਮੁਰੰਮਤ ਸੰਸਕਰਣ ਅਤੇ ਸੇਵਾ ਮੁੜ ਚਾਲੂ ਕਰਨ ਦੀਆਂ ਲੋੜਾਂ ਪ੍ਰਦਾਨ ਕਰੋ। FreeBSD SA 26 73 caroot

ਰਨਟਾਈਮ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ

[12] Python ਅਧਿਕਾਰਤ ਘਟਨਾ ਵੇਰਵਾ pip, certifi, uv, ਆਦਿ ਲਈ ਮੁਰੰਮਤ ਬੇਸਲਾਈਨ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ, ਪੁਰਾਣੇ pip ਸੁਤੰਤਰ ਟਰੱਸਟ ਸਟੋਰ ਦੀ ਸਮੱਸਿਆ ਦੀ ਵਿਆਖਿਆ ਕਰਦਾ ਹੈ, ਅਤੇ SHA-256 ਤਸਦੀਕ ਦੇ ਨਾਲ ਸ਼ੁਰੂਆਤੀ ਅਪਗ੍ਰੇਡ ਵਿਧੀ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। Information for Python users regarding eMudhra emSign CA certificate security incident

[13] Node.js 24.22.1 ਅਧਿਕਾਰਤ ਰਿਲੀਜ਼ ਇਸ ਵਿੱਚ NSS ਰੂਟ ਸਟੋਰ ਅੱਪਡੇਟ ਸ਼ਾਮਲ ਹਨ ਅਤੇ ਬਲਾਕ ਕੀਤੀਆਂ ਜਨਤਕ ਕੁੰਜੀ ਸਰਟੀਫਿਕੇਟ ਚੇਨਾਂ ਵਾਲੀਆਂ ਤਬਦੀਲੀਆਂ ਨੂੰ ਅਸਵੀਕਾਰ ਕਰਦਾ ਹੈ। Node.js 24.22.1 security release

[14] Go ਅਧਿਕਾਰਤ ਸੁਰੱਖਿਆ ਰਿਲੀਜ਼ ਵਰਣਨ crypto/x509 ਸਰਟੀਫਿਕੇਟ ਚੇਨ ਫਿਲਟਰਿੰਗ ਅੱਪਡੇਟ Go 1.27.3/1.26.10. ਲਈ Go 1.27.3 and Go 1.26.10 are released

[15] Oracle JDK ਅਧਿਕਾਰਤ ਨਿਪਟਾਰੇ ਦੀਆਂ ਹਦਾਇਤਾਂ JDK ਨਾਜ਼ੁਕ ਪੈਚ ਅਤੇ ਸੰਬੰਧਿਤ ਸੰਰਚਨਾ ਉਪਾਵਾਂ ਦੀ ਵਿਆਖਿਆ ਕਰੋ ਜਦੋਂ ਇਸਨੂੰ ਤੁਰੰਤ ਅੱਪਗਰੇਡ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। Distrusting eMudhra Intermediate Certificates in Oracle JDK

[16] TLS 1.3 ਪ੍ਰੋਟੋਕੋਲ ਸਟੈਂਡਰਡ RFC 8446 ਪਛਾਣ ਪ੍ਰਮਾਣਿਕਤਾ, ਅਸਥਾਈ ਕੁੰਜੀ ਐਕਸਚੇਂਜ ਅਤੇ ਅੱਗੇ ਗੁਪਤਤਾ ਬਾਰੇ ਹਦਾਇਤਾਂ ਲਈ ਅੰਤਿਕਾ E.1 ਦੇਖੋ। The Transport Layer Security Protocol Version 1.3

[17] ਇਵੈਂਟ-ਸਬੰਧਤ ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਜਾਰੀ ਸਬੰਧ ਡੇਟਾ ਸਿੱਧੇ ਜਾਰੀਕਰਤਾ ਅਤੇ ਕਰਾਸ-ਦਸਤਖਤ ਸਬੰਧ ਨੂੰ ਸਮਝਣ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ; ਰੂਟ ਸਟੋਰ ਸ਼ਾਮਲ ਕਰਨ ਦੀ ਸਥਿਤੀ ਕਲਾਇੰਟ ਦੀ ਨਵੀਨਤਮ ਰੱਦ ਕਰਨ ਜਾਂ ਬਲਾਕਿੰਗ ਸਥਿਤੀ ਨੂੰ ਨਹੀਂ ਬਦਲ ਸਕਦੀ। Root certificate relationships JSON