Apple закрыла в macOS лазейку для взломанных сертификатов eMudhra

Apple сообщила, что macOS 27.2.1, 26.7.3 и 15.8.3 запрещают утилитам командной строки принимать скомпрометированные сертификаты индийского центра eMudhra.

О взломе стало известно 17 октября: Mozilla получила сообщение, что похищены закрытые ключи восьми промежуточных удостоверяющих центров eMudhra. Шесть из них выпускают TLS-сертификаты, которые подтверждают подлинность сайтов.

С такими ключами злоумышленник мог создать сертификат, который выглядел бы действительным для любого сайта, выдать себя за этот сайт и читать или подменять трафик. eMudhra и Sectigo отозвали затронутые сертификаты.

Apple начала блокировать 12 сертификатов этих центров ещё в октябре через автоматическое обновление настроек, без установки новой версии системы. Защита работала в Safari, Mail и приложениях, которые используют сетевые и защитные фреймворки Apple.

Но часть утилит командной строки в macOS и Xcode Command Line Tools, в том числе curl, git, python3 и openssl, сверяет сертификаты по файлу /etc/ssl/cert.pem. Блокировку Apple и отзыв сертификата они не проверяют, поэтому продолжали доверять скомпрометированным центрам. До выхода исправления Apple предлагала администраторам вручную удалять корневые сертификаты из этого файла.

Новые версии macOS блокируют 12 сертификатов и в этих утилитах. Кроме того, из /etc/ssl/cert.pem удалены пять корневых сертификатов: два, к которым ведут цепочки скомпрометированных центров, и ещё три корневых сертификата eMudhra.

Для компьютеров, которые нельзя обновить, Apple сохранила в документе инструкцию по ручному удалению сертификатов. Компания также предупреждает, что некоторые приложения используют собственный список корневых сертификатов, и в таком случае нужно обращаться к их разработчикам.

Mozilla заблокировала скомпрометированные сертификаты в Firefox меньше чем за три часа после сообщения о взломе, а затем удалила корневой сертификат, подписавший их, из своего хранилища доверенных сертификатов NSS.