Apple заблокировала скомпрометированные сертификаты eMudhra
Ограничения уже действуют в Safari, Mail и приложениях, использующих сетевые и защитные фреймворки Apple. Для части инструментов командной строки в macOS компания готовит отдельное исправление.
Apple начала блокировать TLS-сертификаты индийского центра сертификации eMudhra, связанные с ослабленными закрытыми криптографическими ключами. По данным MacRumors, ограничения действуют с 19 октября и не требуют от большинства владельцев устройств установки обновления.
Проблему ранее обнаружил исследователь безопасности: скомпрометированными оказались ключи, относящиеся к восьми промежуточным сертификатам eMudhra. Такие ключи потенциально могли позволить злоумышленникам выдавать себя за легитимные сайты и перехватывать чувствительные данные пользователей. При этом свидетельств использования уязвимости в реальных атаках пока нет.
В Apple блокировка распространяется на Safari, Mail и приложения, которые используют сетевые и защитные фреймворки компании. Сертификаты eMudhra ранее входили в число доверенных у основных браузеров, включая Safari, Chrome, Edge и Firefox; другие разработчики браузеров также приняли меры.
Исключение касается некоторых инструментов командной строки в macOS. До выпуска отдельного обновления они всё ещё могут принимать затронутые сертификаты. До выхода обновления пользователи таких утилит могут временно удалить корневые CA-сертификаты из файла /etc/ssl/cert.pem; подробности приведены в документе поддержки Apple.
Срок выхода обновления macOS, которое внесёт нужные изменения в /etc/ssl/cert.pem по умолчанию, Apple пока не назвала.