Manbalar Pekin vaqti bilan 2026-yil 22-oktabrda tekshirilgan. Audience: individual foydalanuvchilar, veb-sayt operatorlari, ishlab chiquvchilar va tizim ma’murlari.
Jiddiy zaifliklar eMudhra/emSign oraliq CA shaxsiy kalitlari guruhini qayta tiklanishiga imkon berdi. Bu veb-saytlar, API va dasturlarni autentifikatsiya qilish uchun umumiy sertifikat tizimidan foydalanadigan mijozlarga ta’sir qiladi. Jamoat ishonchi asosiy operatsion tizimlarni qamrab oladi, ammo buzilgan kalitlar to’plami va mijozning potentsial ta’siri har xil doirada. 15
Asosiy matn tegishli manbalarni raqamlash uchun kvadrat qavslardan foydalanadi va barcha tashqi havolalar ilovada keltirilgan. Roʻyxatda keltirilgan versiya tekshirish sanasi boʻyicha ushbu hodisa uchun tuzatishni oʻz ichiga olganligi tasdiqlangan asosiy versiyadir. Joylashtirishda bir xil qo’llab-quvvatlanadigan filialda yangilangan barqaror versiyaga ustunlik beriladi.
TL;DR
E8 oraliq CA shaxsiy kalitlari buzilganligi tasdiqlandi. Joriy hisobotlar ildiz shaxsiy kalitlari yoki umuman HTTPS kriptografiyasi buzilganligini aniqlamaydi. Yangilanishlar jamoat ishonch ekotizimining katta qismini qamrab oladi; qoldiq xavf amaldagi qo’llanilishiga bog’liq.15
- Alohida foydalanuvchilar: brauzerlar, operatsion tizimlar va xavfsizlik komponentlarini yangilaydi. Android da Google Play xizmatlarini ham yangilang. Firefox Android 158.0.2 yoki undan keyingi versiyadan foydalaning. 12
- Servers: tarqatishning
ca-certificates/NSS paketlarini yangilang va ilovalar bilan birlashtirilgan ishonchli doʻkonlarni tekshiring. Faqat xostni yangilash yetarli emas. 7810 - Rivojlanish muhitlari: Node 24 ni 24.22.1 ga yangilang yoki tegishli bo’lganda ushbu filialning yangiroq versiyasi. Python muhitlarida kamida pip 26.2.2, certifi 2026.10.19 va uv 0.13.4 ga yangilang. Ruxsat etilgan Go ikkilik fayllarini oling yoki ularni qayta tiklang; Java ni sotuvchining maslahatiga binoan yangilang. 12–15
- Yangilanishlarni faollashtiring: ta’sirlangan xizmatlarni qayta ishga tushiring va konteynerlarni qayta tiklang va qayta joylashtiring. Cloudflare Tunnel uchun cloudflared ni 2026.10.2 yoki keyingisiga yangilang. 7
- Veb-sayt sertifikatlari:, agar u bekor qilingan yoki bloklangan oraliq CA boʻlsa yoki ishonchsiz ildizga tayansa, taʼsirlangan zanjirni almashtiradi. Sertifikatni qayta rasmiylashtirish mijozning ishonchli do’konlarini yangilash o’rnini bosmaydi. 158
- Verification: har bir ilovaning haqiqiy TLS yo‘lini sinab ko‘ring. Sertifikatni rad etishni kutish vaqti va DNS nosozliklaridan farqlang. Sertifikatni tekshirish yoqilgan holda saqlang; xatolarni bostirish uchun
-kdan foydalanmang yoki tekshirishni oʻtkazib yubormang. 7
1 Voqea faktlari va sabablari
tasdiqlangan faktlar
Mozilla va Google sakkizta eMudhra oraliq CA shaxsiy kalitlarida nuqsonlarni tasdiqladi. Tadqiqotchi shaxsiy kalit nazorati isbotini taqdim etdi; Mozilla mustaqil ravishda kalitlarni tikladi va muammoni qayta ishlab chiqdi. Oltita oraliq CA TLS va ikkitasi kod imzolash uchun xizmat qiladi. 25
Kamchilik yaratilgan kalitlarda yotadi: bu oraliq CAlar P-384 egri chizig’idan foydalanadi, lekin ularning shaxsiy kalitlari 256 dan past bo’lgan butun sonlardir. Bu kalitlarni mo’ljallangan katta diapazondan tasodifiy xavfsiz tanlashdan uzoqdir. Ushbu zaif kalitlarni qayta tiklash to’g’ri yaratilgan P-384 kalitlarini buzish mumkinligini ko’rsatmaydi. 2
Bu erda “sertifikat buzilgan” degani “tegishli shaxsiy kalitni tiklash mumkin” deb to’g’ri tushunish kerak. Sertifikat va undagi ochiq kalit tabiatan ochiqdir; sir saqlanishi kerak bo’lgan narsa bu haqiqiy imzo yaratishi mumkin bo’lgan shaxsiy kalit.
Asosiy avlod jarayoni muammolari hali ham tekshirilmoqda
eMudhra ning dastlabki tavsifi muammoni 2025-yil aprel oyida boʻlib oʻtadigan kalitlarni yaratish marosimida koʻrsatadi. Tushuntirish asosiy inkapsulyatsiya va dekapsulyatsiya bosqichini oʻz ichiga oladi: asl kuchli kalitga qoʻshimcha ravishda yana bir kuchsiz kalitlar toʻplami paydo boʻladi va kuchsiz kalitlar keyinchalik sertifikatni qoʻllash va berish uchun ishlatiladi. Kompaniya hali ham aniq ildiz sababi aniq aniqlanmaganini aytdi. 6
Shuning uchun, aniqlanishi mumkin bo’lgan narsa shundaki, bu kalitlar jiddiy zaif va buzilgan; nosozlik HSM ning ma’lum bir apparat tasodifiy soni manbai nuqsonli ekanligi isbotlangan, shuningdek RSA, ECC yoki TLS ning umumiy kriptografik yutug’i sifatida tasvirlab bo’lmaydi.
Ildiz sertifikatiga ishonchsizlik nimani anglatadi?
Brauzer yoki operatsion tizim ta’sirlangan CA oraliq mahsulotining sertifikati yoki ochiq kalitini to’g’ridan-to’g’ri bloklashi yoki ularga olib keladigan ildiz ishonchini olib tashlashi mumkin. Oxirgi chora bir xil ildiz ostidagi ba’zi qonuniy sertifikatlarni ham rad etadi.
Google CRLSet-dan yangilanishlarni olmaydigan Chrome ildiz do’koni foydalanuvchilarini himoya qilish uchun emSign ECC Root CA - G3-ni o’chirishni rejalashtirdi. Ildiz do’konini olib tashlash Pekin vaqti bilan 27 dan 28 oktyabrgacha tegishli davrda surilishi kutilmoqda; Google asl vaqti 27-oktabr tongida, AQShning Tinch okeani kunduzi vaqti. Bu reja avval qo‘llanilgan favqulodda ochiq kalit blokirovkasidan alohida. 1
Ildizga ishonmaslik - javob chorasi; bu o’zi ildiz shaxsiy kaliti buzilganligini isbotlamaydi.
2 Nima uchun potentsial ta’sir jamoatchilik ishonch ekotizimini qamrab oladi
Buzilgan kalitlar va ta’sirlangan ishonch yo’llari
| Sud obyekti | Ushbu hodisa doirasi |
|---|---|
| Muammoli kalit aniqlandi | eMudhra uchun 8 ta oraliq CA shaxsiy kalitlari |
| Harakat talab qilishi mumkin bo’lgan platformalar | Ommaviy ildiz do’koni, brauzer, operatsion tizim, tilning ishlash vaqti, dasturiy ta’minot to’plami va konteyner ekotizimlari |
| TLS identifikatori boʻlishi mumkin | Soxta sertifikatlar zanjirini qabul qiladigan mijozlar tashrif buyuradigan veb-saytlar yoki xizmatlar |
| Bu barcha qurilmalar buzilganligini anglatadimi? | Yo’q; ishonch shartlari, tajovuzkor tarmoq joylashuvi va boshqa tekshirish strategiyalari foydalanish imkoniyatini aniqlaydi |
| Bu barcha yuridik sertifikatlar haqiqiy emasligini anglatadimi? | Yo’q; tegishli bekor qilish mijozning qaysi ildizlari yoki sertifikat zanjirlari ishonchsiz ekanligiga bog’liq. |
Red Hat ekspluatatsiyani mijoz hali ham tegishli zanjirni qabul qiladigan, tajovuzkor buzilgan shaxsiy kalitga ega bo’lgan va tarmoqdagi ulanishni to’xtata oladigan sharoitlarda aniq cheklaydi. Xavfni qoplashni sodir etilgan hujumlar soni bilan aralashtirib yubormaslik kerak. 10
Boshqa CA dan foydalanadigan veb-saytlar ham o’zini namoyon qilishi mumkin
Aytaylik, veb-sayt aslida Let’s Encrypt sertifikatidan foydalanadi va tashrif buyuruvchi mijozi bir vaqtning o’zida bir nechta ommaviy CA ga ishonadi. Buzg’unchi xuddi shu domen nomi uchun boshqa sertifikat yaratish uchun buzilgan oraliq CA dan foydalanishga urinishi mumkin. Mijozlar odatda domen nomidan faqat Let’s Encrypt foydalanishi mumkinligini oldindan talab qilmaydi; agar soxta zanjir hali ham qabul qilinsa, veb-sayt aslida foydalanadigan CA bunday hujumlarni istisno qilish uchun etarli emas. 8
Bu mexanizm quyidagicha tushuntiradi: Dastlab normal bo’lgan boshqa CA sertifikatini almashtirish mijozning buzilgan CA ga ishonchini avtomatik tiklamaydi. Mijozlarning soxta identifikatorlarni qabul qilish yo’lini kesib tashlash kerak.
Uch ta’sirni alohida ko’rib chiqish kerak
Identifikatorga taqlid qilish xavfi: Tegishli zanjirni bloklamagan mijozlar tajovuzkor tomonidan soxtalashtirilgan identifikatorni qabul qilishi mumkin, bu esa soxta xizmatlarga nozik soʻrovlar yuborilishiga olib keladi.
Qonuniy xizmat mavjudligi xavfi: ildiz ishonchini olib tashlash boshqa qonuniy veb-saytlar uchun sertifikat xatolariga olib kelishi mumkin, bu esa boshqa qabul qilingan zanjirga koʻchishi kerak boʻlishi mumkin.
Qo’llashni qoplash xavfi: operatsion tizim tuzatilishi mumkin, shu bilan birga ilovalar to’plami ishonchli do’kon, virtual muhit, eski konteyner tasviri yoki kompilyatsiya qilingan dastur eski tekshirish xatti-harakatlarini saqlab qoladi.
Bu uch doira bir xil emas. Cloudflare javobi masofaviy identifikatsiyani tekshirish, umumiy ishonchli doʻkonlar, asosiy tasvirlar va individual ilovalarni oʻz ichiga oladi, bu oxirgi ikki vazifani nima uchun alohida bajarish kerakligini koʻrsatadi. 7
3 Ta’sirlangan CA va sertifikat provayderlari
Provayder va ta’sir turi
| provayder yoki tizim | Ushbu hodisadagi rol | Ajratish kerak bo’lgan chegaralar |
|---|---|---|
| eMudhra／emSign | Oraliq CA shaxsiy kaliti bevosita buzilgan. | Siz barcha eMudhra ildizlarini va barcha sertifikatlarni buzilgan deb yoza olmaysiz |
| Sectigo bilan bog’liq o’zaro imzo zanjiri | A oʻzaro sertifikati taʼsirlangan ochiq kalitlarning bir xil partiyasi uchun boshqa ishonch yoʻlini tashkil etgan holda chiqarildi. | Tegishli o’zaro sertifikat yoki ochiq kalit bloklanishi kerak; Sectigo ildiz shaxsiy kaliti buzilganligi isbotlanmagan. |
| Internet2/InCommon uchun tegishli sertifikat darajalari | Ba’zi qonuniy sertifikatlar olib tashlanishi uchun emSign ECC ildiziga tayanadi, migratsiyani o’z ichiga oladi. | Bu ildiz ishonchsizligining garov ta’siri bo’lib, uni CA 8 ta zaif kalitning o’rtasi deb hisoblab bo’lmaydi. |
| Let’s Encrypt, DigiCert, Google Trust Services, GlobalSign va boshqalar. | Ushbu hisobotda shaxsiy kaliti buzilgan tomon sifatida ko‘rsatilmagan | Qonuniy sertifikatlar bir xilda bekor qilinmaydi; zaif mijozlar hali ham o’zlari xizmat ko’rsatadigan veb-saytlar sifatida soxta sertifikatlarni qabul qilishlari mumkin |
| CDN, bulutli platforma, sertifikat dileri | Tegishli sertifikatlarni taqdim eting yoki manba va API ga ulanishda jamoat ishonchli doʻkonidan foydalaning. | Haqiqiy sertifikat zanjiri va validatorni tekshirish uchun shunchaki platforma yoki mahsulot nomiga qaramang |
Mozilla xabarnomasida buzilgan kalitlar va Sectigo oʻzaro imzolari hujjatlashtirilgan. Google’ning ommaviy hodisalar muhokamasi qonuniy Internet2/InCommon ierarxiyalarining migratsiyasiga bag‘ishlangan. 25 Cloudflare manzil xizmati va mijozlar ishonchini tuzatadi; ular Cloudflare ning shaxsiy CA shaxsiy kalitlari buzilganligini bildirmaydi. 7
TLS sertifikat zanjiri va o’zaro imzo
Quyidagi munosabat bu safar faqat TLS bilan bog’liq yo’llarni tavsiflaydi. U kodni imzolash yo’llarini o’z ichiga olmaydi va bu yo’llar hali ham barcha platformalarda ishonchli ekanligini anglatmaydi. 17
emSign ECC Root CA - G3→emSign Root TLS CA - G3→ Ta’sirlangan TLS Oraliq CA ochiq kalit → Maqsadli domen uchun soxta sertifikatAAA Certificate Services→ Ta’sirlangan TLS O’rta CA ochiq kalit → Maqsadli domen uchun soxta sertifikat
emSign Root TLS CA - G3 ta’sirlangan TLS oraliq mahsulotining bevosita emitentlaridan biridir va o’zi ba’zi do’konlarda ishonchli langar bo’lishi mumkin. emSign ECC Root CA - G3 boshqa o’zaro imzo qatlamini taqdim etadi. Sectigo AAA Certificate Services bir xil oraliq CA ochiq kalitlariga qo‘shimcha yo‘l yaratadi. 17
Shuning uchun ta’mirlashda ikki xil granularlik mavjud:
- Aniq oraliq CA yoki ochiq kalitni bloklash: bu xuddi shu ildiz ostida boshqa qonuniy ierarxiyalarni saqlab qolishi mumkin, bunda validator ushbu mexanizmni qo’llab-quvvatlaydi.
- Ildiz ishonchini yo’q qiling: bu CA oraliq blokirovka imkoniyatlarisiz mijozlarni himoya qilishi mumkin, lekin moslikka ta’sir qilishi mumkin. Mijoz qabul qiladigan barcha boshqa yo’llar ham qamrab olinishi kerak. 5
“Barcha Sectigo/eMudhra ildizlarini o’chirish” beg’araz umumiy qadam sifatida qabul qilinmasligi kerak, shuningdek, xuddi shunday nomga ega sertifikatni o’chirish barcha yo’llar yopilganligini anglatmasligi kerak.
4 Operatsion tizim va brauzer qamrovi
Asosiy platforma
| Platforma | Ma’lum moyillik | Foydalanishda tekshirilishi kerak bo’lgan qamrov |
|---|---|---|
| Windows va Windows Server | Microsoft Sertifikatning ishonchli roʻyxatini avtomatik yangilash orqali tarqatish bloklandi | Qurilma yangilanishni olganmi yoki yo’qmi; mustaqil CA bundle Windows tekshirish yoʻlidan foydalanishi shart emas. |
| macOS, iOS, iPadOS va boshqalar. Apple platformasi | Voqea koordinatori Apple tegishli blokadani joylashtirganini tasdiqladi | Har bir eski versiya va uchinchi tomon ilovasi bir xil qamrovni olishi kafolatlanmaydi |
| Android | Google ekvivalent bloklarni Google Play xizmati orqali tarqatadi | Google Play xizmatisiz ROM ishlab chiqaruvchining e’loniga muvofiq tekshirilishi kerak; qo’shimcha tekshirish uchun o’rnatilgan tekshirgichdan foydalaning |
| Ubuntu | Tizim sertifikatlari toʻplami, jumladan, bir nechta joriy va eski versiyalar boʻlimlari tuzatildi | ESM ning eski versiyasi shartlarni, konteyner ichki sertifikat paketini va ilovaga o’rnatilgan kutubxonani qo’llab-quvvatlaydi. |
| Debian va Devuan | Debian qayd etilgan ca-certificates aniqlandi | Haqiqiy ishlatilgan filialni va o’rnatilgan paketni tekshirishingiz kerak va siz boshqa filialning versiya raqamini ko’chira olmaysiz. |
| RHEL va hosilalari | Rasmiy roʻyxat RHEL 6, 7, 8, 9, 10 boʻlib, taʼsir qilishi mumkin boʻlgan tegishli mahsulotlar va rasmlarni qamrab oladi. | Ushbu tekshiruvdan so’ng, e’lon hali tuzatishlar va xatolarning to’liq ro’yxatini ko’rsatmagan; “Yangilanish topilmadi” ni ta’sirlanmagan deb hisoblash mumkin emas |
| Fedora, Arch, Gentoo, Alpine va boshqalar. | Hodisa boshqaruvchisi tegishli ta’mirlash yozuvlarini tuzdi | Chiqarish, versiya filiali va tasvir bilan mustaqil ravishda tasdiqlangan |
| FreeBSD | Rasmiy ravishda barcha qo’llab-quvvatlanadigan versiyalar ro’yxati va tizim ishonchli do’konini ta’mirlashni ta’minlaydi | Yangilashdan so’ng, e’longa muvofiq tegishli demon jarayonini qayta ishga tushiring; mustaqil dastur ishonchli do’konini alohida tekshiring. |
Windows, Apple va relizlar haqida qisqacha ma’lumot uchun qarang: 4; Android uchun, qarang: 1; Ubuntu, Debian, RHEL va FreeBSD uchun emitent yozuvlari mos ravishda 8–11 da ko’rsatilgan.
Endi qoʻllab-quvvatlanmaydigan tizimlar, oflayn qurilmalar, NAS, marshrutizatorlar va boshqa oʻrnatilgan muhitlar hali ham tegishli zanjirga ishonadimi yoki yoʻqligini va bekor qilish yoki dasturiy taʼminot yangilanishlarini olish uchun kanallari borligini tasdiqlashi kerak. Platforma nomining o’zi haqiqiy tekshirish xatti-harakatlarini tekshirish o’rnini bosa olmaydi.
Brauzer himoyasi operatsion tizim himoyasidan farq qiladi
Chrome favqulodda bloklarni tarqatish uchun CRLSet dan foydalanadi; Firefox OneCRL kabi mexanizmlardan foydalanadi. Firefox, shuningdek, masofaviy sozlamalarni to’g’ri qabul qilmaydigan konfiguratsiyalar uchun qo’shimcha himoyani ta’minlash uchun blokirovka ma’lumotlari bilan chiqarildi. 13
Firefox Android ning ba’zi konfiguratsiyalari ishga tushirilganda yangilangan ro’yxatni to’g’ri qo’llamagan, Mozilla bu ro’yxat 158.0.2. tomonidan tuzatilgan, shuning uchun dastlabki 158.0.1 holatini barcha himoyalangan Android Firefox konfiguratsiyalarini qamrab olish uchun kengaytirib bo’lmaydi. 2
Apple va Windows tizimlarini tekshirish bo’yicha chora-tadbirlar ko’rildi, ammo bu bitta mashinadagi barcha buyruq qatori dasturlari tizim tekshiruvidan o’tadi degani emas. Tadbirni saqlovchi ba’zi macOS o’rnatilgan vositalari mustaqil sertifikat fayllaridan foydalanishini alohida eslatdi; tekshirishda haqiqiy TLS backend va CA manbasini yozib olish kerak. 4
Sertifikat shaffofligi uchun himoya chegaralari
Google blokni amalga oshirishdan oldin oltita TLS oraliq CA CT jurnaliga kiritilgan TLS sertifikatini bermaganligini tasdiqladi. Shuning uchun, CT-ni qo’llaydigan Chrome mijozlari qo’shimcha himoyaga ega. Bu fakt CT ni bajarmaydigan boshqa mijozlar hujjatsiz sertifikatlarni qabul qilish imkoniyatini istisno etmaydi. 15
“Ma’lum bo’lishicha, u ishonchli ildiz bilan bog’lanishi mumkin”, “potentsial ekspluatatsiya shartlari mavjud” va “hujum sodir bo’ldi” - bu uch xil hukm va bir-biri bilan almashtirilmasligi kerak.
5 Rivojlanish muhiti va ish vaqtini ta’mirlash asosi
Quyida tasdiqlangan tuzatishlarning asosi keltirilgan va bu relizlarni uzoq muddatga mahkamlash shart emas. Distros yamoqlarni orqaga ko’chirish orqali eski versiya raqamlarini tuzatishi mumkin va ularning xavfsizlik bo’yicha maslahatlari ham ko’rib chiqilishi kerak.
| komponentlar | Tasdiqlangan versiya yoki yangilash usuli | Joylashtirish masalalari |
|---|---|---|
| Node.js 24 | 24.22.1 yoki bir xil filialning barqaror versiyasini yangilang | Ildiz ombori yangilanishlari va bloklangan umumiy kalit zanjirlarni rad etishni o’z ichiga oladi; aslida xizmat tomonidan ishlatiladigan Node yo’lini tekshiring va qayta ishga tushiring |
| Python certifi | 2026.10.19 yoki yangiroq versiya | Har bir haqiqiy ishlaydigan muhitni tekshiring; global Python ostida faqat bitta paketni yangilay olmaysiz |
| pip | 26.2.2 yoki yangiroq versiya | pip-ni eski virtual muhitda alohida yangilang va yangi muhit yaratilgandan so’ng versiyani ko’rib chiqing. |
| uv | 0.13.4 yoki yangiroq versiya | Asbobning nusxasini aslida o’rnatilganidek yangilang |
| Go | 1.27.3 yoki 1.26.10, tegishli filialning yangilangan versiyasi ham mavjud | Asboblar zanjirini yangilagandan so’ng tegishli dasturlarni qayta tiklang va o’rnating yoki sotuvchining ta’mirlash ikkilik faylini oling |
| Oracle JDK | Tegishli qo’llab-quvvatlanadigan versiya qatorlari uchun Critical yamoqlari | Turli JDK noshirlari o’zlarining e’lonlarini kuzatib boradilar; barcha Java relizlariga tegishli yagona versiya raqami mavjud emas |
| Cloudflare Tunnel | cloudflared 2026.10.2 yoki yangiroq versiya | Ishlayotgan xizmatlarni yangilash; konteynerni joylashtirish tasvirni almashtirish va qayta joylashtirishni talab qiladi |
| Cloudflare One／WARP | Platformaga mos keladigan sobit mijoz versiyasi yoki yangilangan barqaror versiya | Mijoz tomoni va server tomoni o’lchovlari alohida tasdiqlanadi. Muayyan platforma versiyalari uchun 7 ilovasiga qarang |
uchun original ko’rsatmalar Node , Python , Go , Oracle va Cloudflare mos ravishda mavjud 13 , 12 , 14 , 15 , 7 .
Python mustaqil sertifikat ma’lumotlar bazasi muammosi
Python rasmiylari eski pip tizim ishonchi va o’rnatilgan certifi kombinatsiyasidan foydalanishini ta’kidladilar. Tizim sertifikatlari doʻkonini oddiygina oʻzgartirish yoki CA faylini pip ga qoʻshish uning oʻrnatilgan eski ishonchini ishonchli tarzda inkor eta olmaydi. Shuning uchun, PIP_CERT, REQUESTS_CA_BUNDLE yoki --cert eski pip uchun universal ta’mirlash almashtirish sifatida ishlatilmaydi. 12
Yangilangandan so’ng mavjud virtual muhitlarni tekshiring. Eski yuklash komponentlari zaif vositalarni qayta kiritmasligi uchun yangi yaratilgan muhitlarda aslida o’rnatilgan pip versiyasini ham tekshiring. Dastlabki yangilash uchun boshqa paketlarni yangilashdan oldin Python maslahatidagi yuklab olish manbalari va SHA-256 tekshirish bosqichlarini bajaring. 12
Go va boshqa kompilyatsiya qilingan dasturlar
Go uchun tuzatish crypto/x509 uchun tekshirish mantig’ini o’zgartirdi. 14 Joylashtirish mexanizmi nuqtai nazaridan, kompilyatorni ishlab chiqish mashinasida yangilash allaqachon o’rnatilgan ikkilik faylni qayta yozmaydi. Yangi kod qatlamini blokirovka qilish uchun dasturni qayta qurish va almashtirish kerak yoki sotuvchi tomonidan taqdim etilgan yangilangan versiyadan foydalanish kerak. Eski dastur tizimning ildiz yangilanishlaridan ham foyda olishi mumkinmi, u foydalanadigan haqiqiy tekshirish yo’liga bog’liq.
Konteynerlar va qadoqlangan ilovalar
Tizim sertifikatlari to’plami, dasturga bog’liqliklar va konteynerdagi ish vaqti odatda tasvir mazmuni bilan belgilanadi. Xost yangilanishi tasvir tarkibini yangilash bilan teng emas; asosiy tasvir va bog’liqliklar yangilanishi kerak va haqiqiy ishlaydigan misolni qayta qurish, joylashtirish va tekshirish kerak. O’z ish vaqti bilan birga kelgan paketlangan ilovalar va ish stoli dasturlari ham sotuvchining chiqarish kanallariga ko’ra yangilanishi kerak. 710
6 Ta’mirlashni amalga oshirish bo’yicha ko’rsatmalar
Avval tekshirish ob’ektini aniqlang
Himoya qilinishi kerak bo’lgan xizmatlar uchun quyidagi ma’lumotlarni yozib olish va keyin tegishli ta’mirlash yo’lini tanlash tavsiya etiladi. Bu joylashtirishni nazorat qilish ro’yxati va barcha komponentlar har bir tizimda bo’lishini talab qilmaydi.
| Loyiha | Nimani yozib olish kerak |
|---|---|
| Ilovalar va foydalanish | Brauzer, to’lov API mijozi, elektron pochta yuborish xizmati, yuklab olish vositasi, teskari proksi va boshqalar. |
| operatsion pozitsiyasi | Xost, konteyner, virtual mashina, ish stoli ilovasi yoki mobil qurilma |
| Amalga oshirishni tekshiring | Operatsion tizim validatori, OpenSSL, Node, Python kutubxonasi, Java yoki ilovaning maxsus ilovasi |
| ishonchli manba | Tizim CA to’plami, certifi, JDK ishonchli do’koni, o’rnatilgan CA bundle yoki korporativ konfiguratsiya |
| Ta’mirlash holati | O’rnatilgan versiya, yamoq manbasi, qayta ishga tushirish yoki qayta joylashtirish |
| Qabul qilish natijalari | Ta’sir qilingan zanjir rad etilganmi, oddiy biznes aloqasi muvaffaqiyatli bo’ladimi va tekshirish vaqti |
Cloudflare uchun ishlab chiquvchi qoʻllanmada SDK tekshirishni boshqa komponentlarga topshirishi mumkinligini alohida taʼkidlaydi; faqat yuqori darajadagi SDK ni yangilash haqiqiy ishonch siyosatini o’zgartirishi shart emas. 7
Operatsion tizimlar va brauzerlar
Windows: avtomatik sertifikat ishonch roʻyxati yangilanishini yoqing va tasdiqlang. O’rnatilgan boshqaruv siyosatlari orqali yangilanishlarni tarqating. Oflayn qurilmalar yoki avtomatik yangilanishlar o‘chirilgan qurilmalar tegishli boshqaruv jarayoni orqali qo‘llaniladigan blokirovkaga muhtoj. Windows tizim tekshiruvidan foydalanmaydigan dasturlarni alohida tekshiring. 4
Apple Platformasi: To’liq tizim, xavfsizlik komponenti va ilovalar yangilanishlari. macOS da ishlab chiqish vositalari uchun TLS backend, sertifikat fayllari va oʻrnatish manbalarini ham tekshiring. Safari sinov zanjirini rad etgani uchungina butun mashina ta’mirlangan deb hisoblash mumkin emas. 4
Android: Google Play xizmatlarini unga ega qurilmalarda yangilang. Google qurilmani qayta ishga tushirish darhol yangilanishni boshlashi mumkinligini ta’kidlaydi. Bunday xizmatlarsiz qurilmalar uchun sotuvchiga yoki ROM maslahatiga amal qiling; Google qamrovi haqidagi bayonot har bir Android qurilmasiga avtomatik ravishda taalluqli emas. 1
Ubuntu/Debian: qo’llab-quvvatlanadigan omborlardan sertifikat paketlarini yangilang va o’rnatilgan tarqatish bo’yicha maslahatni tekshiring. Masalan, APT-ga asoslangan tizim quyidagilardan foydalanishi mumkin:
sudo apt update
sudo apt install --only-upgrade ca-certificates
dpkg-query -W -f='${Package} ${Version}\n' ca-certificatesUbuntu 22.04, 24.04, 26.04 va 26.10 uchun tegishli yangilanishlar standart yordam hisoblanadi; oldingi versiyalar ESM yordami va ombor holatini tekshirishi kerak. Buyruq muvaffaqiyatli tugagandan so’ng, siz hali ham byulletendagi tuzatish to’plami versiyasini solishtirishingiz kerak. 89
RHEL va tegishli mahsulotlar: Mahsulot kanali boʻyicha sertifikat paketi va xavfsizlik xatolarini tekshiring. Versiyani tekshirish quyidagi vositalar yordamida amalga oshirilishi mumkin:
rpm -q ca-certificatesSotuvchining yamoqlarini olish uchun qo’llab-quvvatlanadigan DNF/YUM yangilash mexanizmidan foydalaning; agar kanal hali tuzatmagan bo’lsa, “yangilanadigan paket yo’q” ni xavfsiz deb hisoblamang. Ildiz ishonchini vaqtincha olib tashlash kerak bo’lganda, ishlab chiqaruvchi tomonidan aniq ko’rsatilgan choralarni ko’ring va qonuniy biznes sertifikatlarining muvofiqligini baholang. 10
FreeBSD: rasmiy maslahat boʻyicha tegishli tizim boʻlimini yangilang, soʻngra zararlangan OpenSSL ishonch konfiguratsiyasi yordamida demonlarni qayta ishga tushiring yoki tizimni qayta yoqing. 11
Ilovalar va rasmlar
Tegishli ish vaqti va sertifikatga bog’liqlik yangilanishlarini tugatgandan so’ng, terminal yangi versiyaga o’tgani va demon hali ham eski o’rnatish katalogidan foydalanmasligi uchun xizmat amalda ishlayotgan bajariladigan fayl yo’lini tekshiring. Ko’p muhitli Python, xizmat ko’rsatish konteynerlari va o’z ish vaqti bilan birga kelgan ilovalar uchun ular alohida tekshirilishi kerak.
Qayta tiklanishi kerak bo’lgan komponentlar uchun o’rnatish versiyasini, bog’liqlik versiyasini va joylashtirish tasvir identifikatorini saqlang. Qabul qilish ob’ekti haqiqiy ishlayotgan misol bo’lib, uni yaratish mashinasi yoki tasvir registridagi yangi tegni tekshirib bo’lmaydi. 71214
Veb-sayt sertifikat migratsiya
Agar veb-sayt zanjirida bekor qilingan yoki bloklangan oraliq CA bo‘lsa yoki oxir-oqibat ishonchsiz ildizga tayansa, mijozlar hali ham qabul qiladigan boshqa zanjirni oling. To’liq server sertifikatlari zanjirini o’rnating va har bir kirishni, jumladan yuk balanslagichlari, teskari proksi-serverlar, CDN so’nggi nuqtalari va to’g’ridan-to’g’ri kirish manbalarini tekshiring. 15
Migratsiya talab qilinadimi, haqiqiy zanjirga asoslanadi. Faqat sertifikat savdo markasi bo’yicha filtrlash qayta sotish yoki o’zaro imzo munosabatlarini o’tkazib yuborishi mumkin; Muddati tugashini kutish ildiz do’koni yangilanishidan oldin migratsiyani yakunlashi shart emas.
CA tomonidan chiqarilgan va zararlangan ildizga tayanmaydigan boshqa oddiy veb-sayt sertifikatlari uchun ushbu hodisa tufayli ularni qayta imzolashning hojati yo’q. Shu bilan birga, tashqi xizmatlarga qo’ng’iroq qilishda veb-sayt serverining o’zi hali ham mijoz tomonidan ta’mirlash tekshiruvlarini amalga oshirishi kerak.
7 Tuzatish amalda kuchga kirganligini tekshiring
Versiyani tekshirish va xatti-harakatlarni tekshirish alohida amalga oshiriladi
Versiya tekshiruvi yamoqlar yoki o’zgarmas komponentlar o’rnatilganligini tasdiqlash uchun ishlatiladi; xatti-harakatlar tekshiruvlari ilova haqiqatda kutilgan tekshirish yo’lidan foydalanishini tasdiqlash uchun ishlatiladi. Ikki tekshiruv turli muammolarni hal qiladi va ularning hech birini “Yangilash buyrug’i muvaffaqiyatli bajarildi” bilan almashtirib bo’lmaydi.
Tadbirni yurituvchisi sinov maydonchasi va sertifikat zanjiri materiallarini taqdim etadi va kirish 4 ilovasida jamlangan. Oddiy sertifikatni tekshirish konfiguratsiyasini saqlab, maqsadli dasturning haqiqiy ish muhitida tekshirilishi kerak. 47
| Natijalarni tekshiring | Chiqarish mumkin bo’lgan xulosalar |
|---|---|
| Aniq rad etish, chunki ta’sirlangan zanjir ishonchli emas | Sinov qilinayotgan tekshirish yo’li zanjirni rad etganligini bildiradi |
| Ta’sirlangan zanjirni an’anaviy tarzda qabul qiling | Ushbu yo’lni ta’mirlashni davom ettirish yoki konfiguratsiyani tekshirish kerakligini ko’rsatadi. |
| DNS xatosi, ulanish vaqti tugashi, proksi-serverni rad etish yoki xizmatdan foydalanish imkonsiz | Bunga asoslanib, sertifikat xavfi bartaraf etilgan degan xulosaga kelish mumkin emas. |
| Brauzer rad etadi, lekin ilova chaqiruvi tekshirilmaydi | U fon dasturini emas, balki faqat brauzerni tasdiqlashi mumkin. |
| A zanjiri rad etildi | Hali ham mijoz boshqa o’zaro imzo yo’lini qabul qiladimi yoki yo’qligini hisobga olish kerak |
Sinov, shuningdek, barcha so’rovlardagi nosozliklarni xatoga yo’l qo’ymaslik uchun oddiy biznes aloqalarini qamrab olishi kerak, chunki biznesdagi muvaffaqiyatsizliklar haddan tashqari ishonchni yo’qotish natijasida yuzaga keladi.
Tavsiya etilgan tugatish shartlari
- Ta’sir qilingan komponentlarning yangilanish manbai va versiyasi hujjatlashtirilgan.
- Tegishli ishlaydigan misol qayta ishga tushirildi, qayta tiklandi yoki qayta joylashtirildi.
- Haqiqiy dastur ta’sirlangan zanjirni rad etadi va oddiy biznes uchun TLS tekshiruvi ishlashda davom etadi.
- Ulanishni tiklash uchun sertifikatni tekshirishni vaqtincha oʻchirish uchun konfiguratsiya yoʻq.
- Agar veb-sayt sertifikati migratsiyasi ishtirok etsa, barcha tashqi kirishlar almashtirilgan va tasdiqlangan.
Yuqoridagi tugatish shartlari ushbu utilizatsiya uchun foydalanish va texnik xizmat ko’rsatishni qabul qilish bo’yicha takliflardir; uskunaning boshqa xavfsizlik muammolari yo’qligini isbotlash bilan teng emas.
8 Tarixiy HTTPS trafik va xavf chegaralari
Uch turdagi kalitlar turli maqsadlarda qo’llaniladi
| kalit | Asosiy maqsad |
|---|---|
| CA shaxsiy kalit | Sertifikatda identifikator va ochiq kalitni imzolang |
| Veb-sayt shaxsiy kaliti | Sertifikat tasdiqlangan TLS qoʻl siqishida server identifikatorini tasdiqlang |
| seans kaliti | Ulanishda haqiqatda uzatilgan ma’lumotlarni himoya qiling |
CA shaxsiy kalitini olish veb-sayt shaxsiy kalitini yoki barcha seans kalitlarini olish bilan teng emas. A vaqtinchalik kalit almashinuvi yordamida oldingi maxfiylik bilan normal ulanish, uzoq muddatli imzolash kaliti keyinchalik buzilganligi sababli avtomatik ravishda tarixiy seanslarni oshkor qilmaydi. TLS 1.3 ning tegishli xavfsizlik atributlari uchun RFC 8446 ga qarang. 16
Bu safar asosiy xavf autentifikatsiya bosqichida yuzaga keladi: agar mijoz soxta server sertifikatini qabul qilsa, u hanuz shifrlangan tajovuzkor bilan aloqa o’rnatishi mumkin. TLS 1.3 ham ishonchli autentifikatsiyani talab qiladi; oddiygina protokol versiyasini yangilash CA blokirovkasining o’rnini bosa olmaydi.
Hozirgi vaqtda amalga oshirilishi mumkin bo’lgan va mumkin bo’lmagan hukmlar
Tasdiqlangan: maxsus oraliq CA shaxsiy kalitlari buzilgan; ta’sirlangan jamoatchilik ishonch yo’llari keng qamrovga ega; yirik platformalar va bir nechta dasturiy ta’minot ekotizimlari harakatga kirishdi. 145
Ushbu hodisa tomonidan aniqlanmagan: barcha foydalanuvchilar o‘rtadagi odam hujumlariga duchor bo‘lganligi, boshqa CA shaxsiy kalitlari buzilganligi, barcha tarixiy HTTPS trafigini shifrlash mumkinligi yoki bitta qurilmadagi har bir ilovani yangilash brauzerni himoyalashi.
Muayyan xizmat haqidagi yakuniy qaror faqat manzillar panelida HTTPS ko‘rsatilishiga emas, balki uning sertifikat zanjiri, tekshirish siyosati, amaldagi ishlayotgan komponentlari va yangilanish holatiga asoslanishi kerak.
Ilova A Ta’sir qilingan oraliq CA nomi
Quyidagi nomlar aktivlarni tekshirishga yordam beradi. Ismlar sertifikat barmoq izlari yoki ochiq kalit identifikatorlarini almashtirmaydi. Avtomatlashtirilgan moslashtirishda hodisani kuzatuvchilar yoki sotuvchilar tomonidan e’lon qilingan aniq identifikatorlardan, shu jumladan o’zaro imzolangan sertifikatlardan foydalanish kerak. 5
| O’rta CA | Maqsad | Birlashgan tashkilotlar |
|---|---|---|
| EM EV TLS CA - G3B | TLS | eMudhra BV |
| EM OV TLS CA - G3B | TLS | eMudhra BV |
| EM DV TLS CA - G3B | TLS | eMudhra BV |
| EM EV TLS CA - G3C | TLS | eMudhra Inc |
| EM OV TLS CA - G3C | TLS | eMudhra Inc |
| EM DV TLS CA - G3C | TLS | eMudhra Inc |
| EM OV CS CA - G3B | kod imzolash | eMudhra BV |
| EM OV CS CA - G3C | kod imzolash | eMudhra Inc |
TLS kodni imzolash bilan aynan bir xil validator va bekor qilish mexanizmi emas. Ushbu maqolaning diqqat markazida HTTPS/TLS; kodni imzolash muhiti ushbu tekshirish maqsadida Microsoft, JDK yoki tegishli dasturiy ta’minot ishlab chiqaruvchilarini qabul qilishi kerak va brauzer sinovi natijalari kodni imzolashni qabul qilish sifatida qaralmasligi kerak. 515
Ilova B Malumot havolasi
Quyidagi manbalar 2026-yil 22-oktabrda tasdiqlangan. E’lonni yangilash davom etishi mumkin va matndagi holat va versiya ushbu hujjat sanasidan kelib chiqib tushunilishi kerak.
Voqea faktlari va platforma bilan ishlash
[1] Google Chrome va Android Rasmiy e’lon Maxfiy kalit kamchiliklari, SPKI blokirovkasi, Google Play xizmatini taqsimlash, CT himoyasi va Chrome ildiz omborini olib tashlash rejalarini tavsiflaydi. Protecting Chrome and Android Users from Compromised eMudhra Intermediate CA Certificates
[2] Mozilla Bugzilla 2083449 Voqealar yozuvi Asl hisobotlarni, mustaqil tekshirishni, ishlab chiqarish jarayonini tekshirishni, Firefox Android uchun keyingi tuzatishlarni va huquqiy sertifikat migratsiya muhokamalarini o’z ichiga oladi; 5, 11, 29 va 30 izohlarga e’tibor qarating. eMudhra Private key compromise of Intermediate Certificates
[3] Mozilla Firefox Xavfsizlik eslatmasi OneCRL favqulodda tarqatish tavsifi va keyinchalik Firefox/NSS utilizatsiyasi. Protecting Firefox users following the compromise of eMudhra intermediate certificates
[4] Voqealar koordinatori Dennis Jackson Xizmat haqida qisqacha ma’lumot va aniqlash portali Platforma va dasturiy ta’minotni ta’mirlash holati, testga kirish, ommaviy sertifikatlar zanjiri materiallari va Windows/macOS kabi muhitlar bo’yicha qo’shimcha ko’rsatmalar beradi. Sinov natijalari faqat sinovdan o’tgan haqiqiy tekshirish yo’llarini ifodalaydi. eMudhra Intermediate CA Compromise
[5] Mozilla Tarqatish va ishonchli do’kon sotuvchilari uchun eslatma 6 TLS va 2 kod imzolash oraliq CA, Sectigo o‘zaro imzolash, bekor qilish va ildiz ishonchini qayta ishlash chegaralarini tavsiflaydi hamda aniq sertifikat va ochiq kalit identifikatsiyasini ro‘yxatga oladi. oss-security eMudhra Intermediates Compromise
[6] eMudhra Hodisa haqida rasmiy bayonot Kalit yaratish jarayoni haqida ishlab chiqaruvchining dastlabki tushuntirishlarini taqdim etish; aniq asosiy sabab hali tugallangan tergov xulosasiga bog’liq bo’ladi. eMudhra Statement on Recent Certificate Security Incident
[7] Cloudflare Hodisa va ta’mirlash bo’yicha rasmiy ko’rsatmalar WARP, Cloudflare Tunnel, kelib chiqish saytini tekshirish, ish vaqtiga bog’liqliklar, tasvir yangilanishlari va tekshirish usullarini qamrab oladi. 8 eMudhra certificates are compromised Here is what you need to know
Operatsion tizimlar va tarqatishlar
[8] Ubuntu Ta’mirlash bo’yicha rasmiy e’lon Har bir versiya uchun ca-certificates tuzatish paketlari, qo‘llab-quvvatlash kanallari va maqsadli yangilanish bosqichlari ro‘yxati keltirilgan. eMudhra CA compromise fixes available
[9] Debian Rasmiy muammo va ta’mirlash yozuvi Ta’minotchining tuzatish yozuvi va tegishli relizlar to’plami standart sifatida qabul qilinishi kerak va muammoni muhokama qilishda dastlabki vaqtinchalik takliflar yakuniy yechim sifatida qaralmasligi kerak. Debian bug 1151413 eMudhra Intermediate CA key compromise
[10] Red Hat Rasmiy xavfsizlik byulleteni RHSB 2026 012 RHEL 6 dan 10 gacha, tegishli mahsulot va konteyner ta’sirini sanab o’tadi va chiqarish va oraliq utilizatsiya yozuvlarini tuzatadi. Certificate compromise eMudhra
[11] FreeBSD Rasmiy xavfsizlik byulleteni Ta’sir qilingan tizim filiallarini, ta’mirlash versiyalarini va xizmatni qayta ishga tushirish talablarini taqdim eting. FreeBSD SA 26 73 caroot
Ish vaqti va protokollar
[12] Python Rasmiy hodisa tavsifi pip, certifi, uv va boshqalar uchun ta’mirlashning asosiy qoidalarini taqdim etadi, eski pip mustaqil ishonchli do’kon muammosini tushuntiradi va SHA-256 tekshiruvi bilan dastlabki yangilash usulini taqdim etadi. Information for Python users regarding eMudhra emSign CA certificate security incident
[13] Node.js 24.22.1 Rasmiy nashr NSS ildiz doʻkoni yangilanishlarini oʻz ichiga oladi va bloklangan ochiq kalit sertifikat zanjirlarini oʻz ichiga olgan oʻzgarishlarni rad etadi. Node.js 24.22.1 security release
[14] Go Rasmiy xavfsizlik relizi Tavsif crypto/x509 sertifikat zanjiri filtrlash Go 1.27.3/1.26.10. uchun yangilanish Go 1.27.3 and Go 1.26.10 are released
[15] Oracle JDK Utilizatsiya qilish bo’yicha rasmiy yo’riqnomalar JDK muhim patchi va uni darhol yangilab bo’lmaganda tegishli konfiguratsiya choralarini tushuntiring. Distrusting eMudhra Intermediate Certificates in Oracle JDK
[16] TLS 1.3 Protokol standarti RFC 8446 Shaxsni autentifikatsiya qilish, kalitlarni vaqtinchalik almashish va uzatish maxfiyligi bo’yicha ko’rsatmalar uchun E.1 ilovasiga qarang. The Transport Layer Security Protocol Version 1.3
[17] Voqea bilan bog’liq ildiz sertifikati va emissiya munosabatlari ma’lumotlari To’g’ridan-to’g’ri emitent va o’zaro imzo munosabatlarini tushunish uchun foydalaniladi; ildiz do’konini qo’shish holati mijozning so’nggi bekor qilish yoki bloklash holatini almashtira olmaydi. Root certificate relationships JSON