Apple блокирует скомпрометированные TLS-сертификаты индийской компании eMudhra в Safari, Mail и приложениях, использующих сетевые и защитные фреймворки Apple, начиная с 19 октября. Блокировка действует автоматически и не требует обновления ПО, поэтому большинству владельцев устройств Apple ничего делать не нужно. Об этом компания сообщила в документе поддержки.
Ранее в этом месяце исследователь безопасности обнаружил, что закрытые криптографические ключи, связанные с восемью промежуточными сертификатами удостоверяющего центра (CA) eMudhra, были слабыми. Скомпрометированные ключи могли позволить злоумышленникам выдавать себя за легитимные сайты, потенциально подвергая риску конфиденциальную информацию пользователей. Однако на данный момент нет доказательств того, что ключи использовались злонамеренно.
Сертификаты eMudhra широко признавались доверенными всеми основными веб-браузерами, включая Safari, Chrome, Edge и Firefox, но Apple и другие компании, стоящие за этими браузерами, с тех пор приняли меры для защиты пользователей.
Есть одно исключение. Apple сообщила, что тем, кто пользуется инструментами командной строки macOS, например системным администраторам, следует учитывать, что некоторые из этих инструментов всё ещё могут принимать скомпрометированные сертификаты до выпуска обновления macOS с исправлением. Пока Apple не предоставила дату выпуска обновления macOS, которое по умолчанию внесёт необходимые изменения в файл /etc/ssl/cert.pem.
В качестве временной меры Apple рекомендует пользователям инструментов командной строки удалить корневые CA-сертификаты из файла /etc/ssl/cert.pem. Более подробные технические сведения приведены в документе поддержки Apple.
Источник: www.macrumors.com
