Apple заблокувала 8 скомпрометованих сертифікатів, але на Mac лишається ризик
Apple відключила вісім проміжних вебсертифікатів, які могли дозволити зловмисникам підмінювати сайти. Водночас на macOS вони можуть і далі вважатися чинними.
Apple заблокувала вісім скомпрометованих проміжних вебсертифікатів, які могли використовуватися для імітації справжніх сайтів. Водночас на комп’ютерах Mac ці сертифікати можуть і надалі вважатися довіреними через особливості перевірки відкликання в macOS.
Що сталося
Проблема стосується проміжних сертифікатів, які підтверджують справжність домену під час з’єднання через HTTPS. Помилка у скрипті їхнього генерування призвела до того, що приватні ключі деяких сертифікатів можна було відгадати з малої множини — всього 256 варіантів.
Компрометовані вісім сертифікатів відкликано, а запроваджені зміни мають унеможливити появу такої вразливості в наступних випусках.
Як реагували браузери
За повідомленнями, Apple, Google і Mozilla заблокували ці сертифікати у своїх браузерах. Тож у Safari, Chrome та Firefox підміна сайтів за їх допомогою має бути неможливою.
Що з Mac
Криптограф Деніс Джексон із Mozilla попереджає, що macOS може продовжувати довіряти скомпрометованим сертифікатам, оскільки система не перевіряє їх відкликання на рівні ОС. Це означає, що якщо на вашому Mac один із таких сертифікатів уже був прийнятий, він може й надалі вважатися чинним поза браузером.
Окремий ризик стосується вбудованої утиліти /usr/bin/curl: її пакунок сертифікатів не перевіряє інформацію про відкликання, тож curl теж може довіряти цим сертифікатам.
Чому це важливо
- Проміжні сертифікати — ключова ланка довіри у TLS-ланцюжку; їх компрометація відкриває шлях до підміни сайтів.
- Браузерні блокування вже діють, але системні інструменти на macOS можуть залишатися вразливими.
Що далі
Наразі немає доказів використання цих сертифікатів «у полях». Очікується, що Apple зможе усунути проблему перевірки відкликання в одному з найближчих оновлень безпеки для macOS.
