Apple защитила командную строку macOS от 12 сертификатов eMudhra

Для Safari, Mail и приложений, использующих сетевые механизмы Apple, блокировка уже доставлялась автоматически и не требовала обновления системы.

Проблема возникла после компрометации закрытых ключей восьми промежуточных центров сертификации eMudhra. Шесть из них выдавали сертификаты TLS. Обладатель их ключей мог создать сертификат, который выглядел бы действительным для любого сайта. Ещё два центра выдавали сертификаты для подписи кода, которым механизмы Apple не доверяют. eMudhra и Sectigo отозвали затронутые сертификаты.

Для каждого из шести центров TLS существовало по два сертификата. Один был выдан через emSign Root TLS CA — G3, второй имел перекрёстную подпись Sectigo. Apple блокирует все 12 сертификатов, а также корневой сертификат emSign ECC Root CA — G3 в Safari, Mail и приложениях, которые используют её сетевые и защитные механизмы. Изменения конфигурации сертификатов устройства получают автоматически, по мере необходимости.

У части инструментов командной строки проверка устроена иначе. В частности, curl, git, python3, ruby, perl и openssl могут сверять сертификаты с файлом /etc/ssl/cert.pem. Если цепочка ведёт к корневому сертификату из этого файла, такие инструменты не проверяют ни блокировку Apple, ни отзыв сертификата. Поэтому защита в Safari не закрывала этот путь проверки.

Новые версии macOS блокируют 12 затронутых сертификатов и для инструментов командной строки, входящих в macOS или набор Xcode Command Line Tools. Обновления также удаляют из /etc/ssl/cert.pem пять корневых сертификатов: два сертификата, к которым ведут цепочки затронутых сертификатов, и ещё три сертификата eMudhra. После удаления инструменты, которые полагаются только на этот файл, могут перестать подтверждать подлинность некоторых сайтов. Это касается сайтов, чьи сертификаты связаны с удалёнными корневыми сертификатами через промежуточные центры, не затронутые компрометацией.

Если вы используете инструменты командной строки, но не можете установить macOS 27.2.1, 26.7.3 или 15.8.3, Apple предлагает вручную удалить корневые сертификаты из /etc/ssl/cert.pem. Перед изменением файла компания советует сделать резервную копию; для выполнения команд нужна учётная запись администратора. После следующих обновлений macOS файл придётся проверить снова: удалённый сертификат может появиться в нём повторно. После установки одной из трёх версий повторять эти действия не нужно.

Приложения и инструменты с собственным списком корневых сертификатов не используют ни блокировку Apple, ни /etc/ssl/cert.pem. По вопросам проверки сертификатов в них Apple рекомендует обращаться к разработчикам.

В октябре Apple сообщала, что готовит отдельное исправление для командной строки. Нынешние обновления macOS стали следующим этапом этой защиты.