eMudhra Incident - Admin & Remediation Dashboard

INCIDENT DATE: 17. ŘÍJNA 2026, 17:00 UTC

Kompromitace 8 mezilehlých autorit (Intermediate CAs) eMudhra

Došlo ke kompromitaci soukromých klíčů u 8 intermediate CA certifikátů indické autority eMudhra. Jelikož tyto certifikáty byly plně důvěřované ve WebPKI, útočník zná jejich klíče a **může vystavit falešný SSL/TLS certifikát pro jakoukoliv doménu na světě**. Hrozí riziko Man-in-the-Middle (MitM) odposlechu a modifikace HTTPS provozu.

Dopad: Celointernetový (WebPKI)

Vektor: Slabé klíče / Únik privátních klíčů

Cloudflare Edge: Mitigováno (Vyžaduje akci na klientské/serverové straně)

Celkový progres nápravy 0%

Stav úkolů: 0 / 0 splněno

Uloženo v prohlížeči Aktualizováno: právě teď

Filtr úkolů:

Kliknutím na položku označíte úkol jako vyřešený.

Fáze 1: Cloudflare Infrastruktura & WARP / Tunnely

Zabezpečení přenosových agentů a klientského šifrovaného přístupu

Kritická priorita

Aktualizace Cloudflare Tunnel (cloudflared konektorů) Minimální verze: 2026.10.2

Zamezí selhání TLS handshake příkazů při přísné revokaci autorit na hranici Cloudflare.

Linux standalone upgrade

cloudflared --version || sudo cloudflared update

Docker compose redeploy

docker compose pull cloudflared && docker compose up -d cloudflared

Aktualizace Cloudflare WARP & 1.1.1.1 klientů MDM / Intune rollout

Nasaďte aktualizace agentů pro koncové stanice a mobilní zařízení přes MDM řešení.

Windows & macOS / Linux Vyžadovaná verze: 2026.8.2115.0

Android & iOS Android v2.5.7 (1.1.1.1 v6.38.11) | iOS v1.12.7

Fáze 2: Operační systémy & OS Trust Store

Odstranění kompromitovaných CA z úložišť Linuxu a Windows

Vysoká priorita

Aktualizace CA balíčku na Debian / Ubuntu servery apt ca-certificates

Stáhne aktuální revoked certifikáty a aktualizuje `/etc/ssl/certs`.

Bash příkaz pro Debian/Ubuntu

sudo apt-get update && sudo apt-get install --only-upgrade ca-certificates -y

Aktualizace CA balíčku na RHEL / Rocky / AlmaLinux dnf / update-ca-trust

Aktualizuje systémový trust store v Enterprise Linux distribuci.

Bash příkaz pro RHEL/CentOS

sudo dnf update ca-certificates -y && sudo update-ca-trust

Kontrola a sync Certificate Trust List (CTL) na Windows Serverech PowerShell / Windows Update

Ujistěte se, že služba pro automatické stahování root certifikátů není blokována zásadami registru.

PowerShell kontrola nastavení AutoUpdate

Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\SystemCertificates\AuthRoot" -Name "DisableRootAutoUpdate" -ErrorAction SilentlyContinue

Fáze 3: Runtimy, Kontejnery & Vývojové závislosti

Ošetření aplikací (Node.js, Python, Docker, Go), které ignorují systémový trust store OS

Vysoká priorita

Aktualizace Node.js Runtime (Bundled Mozilla CAs) Patch Node.js Engine

Node.js nese certifikáty natvrdo zkompilované. Je nutný ugrade na opravené verze: v22.23.4+, v24.22.1+, nebo v26.12.1+.

Kontrola verze Node.js

node -v

Aktualizace Python balíčku `certifi` pip upgrade certifi

Knihovny `requests` a `httpx` využívají certifikáty z balíčku `certifi`. Je nutné provést update ve všech venv.

Update v Python prostředí

pip install --upgrade certifi

Rebuild Docker kontejnerů bez cache docker compose rebuild

Staré Docker image si nesou zastaralé CA autority. Proveďte kompletní `pull` base imagí a rebuild.

Prázdný rebuild produkce

docker compose build --no-cache && docker compose up -d

Překompenzace interních Go (Golang) nástrojů CVE-2026-111943

Aplikace zkompilované v Go vyžadují rebuild pod aktualizovaným Go SDK toolchainem.

Fáze 4: Zákaznické Origin Servery & mTLS Trust Store

Kontrola certifikátů nasazených na origin serverech za Cloudflare

Střední priorita

Revize certifikátů na Origin serverech (Full Strict Mód) Cloudflare Origin Check

Ujistěte se, že zákaznické servery nepoužívají vlastní TLS certifikát vystavený autoritou eMudhra. Nahraďte je za Let's Encrypt nebo Cloudflare Origin Certifikáty.

Kontrola custom mTLS Trust Store / Klientská autentizace Client Cert Validation

Zkontrolujte nahrané CA certifikáty sloužící pro ověřování klientů v mTLS. Pokud obsahují eMudhra intermediate autority, okamžitě je odstraňte.

Verifikace funkčnosti odchozí komunikace (Egress Interception) Verification Check

Otestujte, že skripty a aplikace po aktualizaci CA vyhovují TLS validaci a nehlásí chyby neznámé certifikační autority.