macOS 27.2.1 закриває діру із сертифікатами eMudhra

Apple випустила macOS 27.2.1 Golden Gate, а разом із нею macOS 26.7.3 Tahoe і macOS 15.8.3 Sequoia. Головне в цих оновленнях: Mac перестає довіряти скомпрометованим сертифікатам індійського центру сертифікації eMudhra в усіх програмах, зокрема в командному рядку. Оновитися варто всім, у кого Mac працює на одній із цих трьох систем.

Що сталося з eMudhra

Mozilla повідомила, що у восьми проміжних центрів сертифікації eMudhra витекли закриті ключі. За даними MacRumors, ключі виявилися слабкими: їхні значення були менші за 256, тож підібрати такий ключ неважко. З ними зловмисник міг випускати підроблені сертифікати для будь-якого сайту й перехоплювати дані в захищеному з'єднанні.

Apple блокувала ці сертифікати частинами. З 19 жовтня, а потім із 23 жовтня захист надходив автоматично, без оновлення системи. Safari, «Пошта» та застосунки на системних мережевих фреймворках були закриті. Командні інструменти на кшталт curl і git лишилися без захисту: вони читають власний список кореневих сертифікатів і далі довіряли скомпрометованим.

Що змінює оновлення

У macOS 27.2.1, 26.7.3 і 15.8.3 ці інструменти перестають приймати погані сертифікати. Заодно з файлу /etc/ssl/cert.pem видалено п'ять кореневих сертифікатів, серед них три eMudhra, яких не було в першому ручному обході Apple. Виправлення є й у бета-версії macOS 27.3, але Apple не стала чекати на груднєвий випуск.

Звичайному користувачеві більше нічого робити не потрібно: відкрийте «Системні параметри → Загальні → Оновлення ПЗ» й установіть свіжу версію.

Якщо оновитися не можна, Apple залишила в бюлетені безпеки ручну інструкцію: там перелічено 12 порушених сертифікатів і п'ять видалених кореневих. Програм зі своїм списком кореневих сертифікатів захист Apple не стосується, тому Apple радить запитати про це в розробника.

Решту виправлень того ж дня в Bluetooth, AirPlay та iMessage ми розбирали в новині про iOS 27.2.1. Випадків використання діри eMudhra проти користувачів Apple не називала.