Apple випустила macOS-оновлення для блокування скомпрометованих сертифікатів eMudhra
Apple закрила залишковий ризик у macOS, пов’язаний із сертифікатами eMudhra: оновлення тепер охоплюють і інструменти командного рядка на кшталт curl та git.
Apple випустила оновлення macOS, які усувають прогалину безпеки через скомпрометовані проміжні сертифікати eMudhra, розширивши блокування на інструменти командного рядка, включно з curl і git.
Передісторія
Кілька тижнів тому Mozilla повідомила про компрометацію приватних ключів восьми проміжних центрів сертифікації індійської компанії eMudhra. Такі сертифікати використовують для встановлення довіри до цифрових сертифікатів, що підтверджують справжність сайтів і шифрують з’єднання.
Отримавши ці ключі, зловмисники могли б випускати підроблені, але на вигляд легітимні сертифікати, маскуючись під сайти та перехоплюючи чутливі дані. У відповідь Apple почала автоматично блокувати проблемні сертифікати 19 жовтня, а 23 жовтня додала додаткові захисти через автоматичні оновлення конфігурації сертифікатів — без необхідності встановлювати оновлення macOS.
Що змінює сьогоднішнє оновлення
За даними компанії, випуски macOS 27.2.1, macOS 26.7.3 і macOS 15.8.3 блокують приймання скомпрометованих сертифікатів інструментами командного рядка, тож адміністраторам більше не потрібно застосовувати ручні обхідні кроки. Раніше Apple публікувала інструкції для тимчасового вирішення цієї прогалини.
Оновлення також вилучають п’ять кореневих сертифікатів ЦСК з /etc/ssl/cert.pem, зокрема три додаткові сертифікати eMudhra, яких не було в первинній ручній інструкції Apple.
Як діяти користувачам і адміністраторам
Якщо встановити найсвіжіші версії macOS неможливо, Apple зберігає в матеріалі підтримки інструкції для ручного усунення ризику. Там наведені назви та SHA-256-відбитки 12 проблемних сертифікатів і п’яти вилучених кореневих ЦСК.
Водночас компанія попереджає: деякі застосунки та інструменти мають власні списки кореневих сертифікатів і не використовують ані блокування Apple, ані /etc/ssl/cert.pem. У таких випадках слід звернутися до розробника відповідного ПЗ.
Контекст безпеки
Початкові автоматичні блокування вже захищали Safari, Mail та інші застосунки, що працюють через мережеві й безпекові фреймворки Apple. Тепер захист поширюється й на інструменти командного рядка в macOS (наприклад, curl і git), хоча окремі застосунки з власними списками кореневих сертифікатів не підпадають під це блокування.
Фото: 9to5Mac
