Apple заблокировала 12 сертификатов eMudhra и готовит исправление для macOS

Защита уже действует в Safari, Mail и приложениях, использующих сетевые механизмы Apple. Для некоторых инструментов командной строки на Mac компания готовит отдельное исправление.

Блокировка связана с компрометацией закрытых ключей восьми промежуточных удостоверяющих центров под управлением eMudhra. Два из них выдавали сертификаты для подписи кода, которым механизмы Apple не доверяют. Остальные шесть выдавали сертификаты TLS. По данным Apple, обладатель этих ключей мог бы создавать сертификаты, выглядящие действительными для любого сайта. eMudhra и Sectigo отозвали затронутые сертификаты.

У каждого из шести центров, выдававших сертификаты TLS, было по два сертификата: один в цепочке доверия emSign ECC Root CA — G3, другой с перекрёстной подписью Sectigo в цепочке AAA Certificate Services. Всего Apple блокирует 12 сертификатов. Блокировка началась 19 октября 2026 года, а 23 октября компания дополнительно начала блокировать корневой сертификат emSign ECC Root CA — G3.

Данные о блокировке поступают на устройства автоматически, без установки обновления системы. Apple также готовит дополнительные изменения, которые доставит тем же способом. Тем, кто не пользуется «Терминалом» в работе, ничего делать не нужно: Safari, Mail и приложения, использующие сетевые механизмы Apple, уже отклоняют затронутые сертификаты.

Исправление macOS для сертификатов eMudhra

Исключение — некоторые инструменты командной строки из macOS и набора Xcode Command Line Tools. Apple называет curl, git, python3, ruby, perl и openssl. Они проверяют сертификаты по файлу /etc/ssl/cert.pem. Если цепочка сертификата ведёт к корневому центру из этого файла, инструменты не учитывают блокировку Apple и отзыв сертификата. Поэтому они всё ещё могут принимать часть скомпрометированных сертификатов.

Apple изменит этот файл в будущем обновлении macOS. После установки исправления вручную редактировать его не потребуется. Дату выхода обновления компания не назвала. Администраторы и разработчики, которые используют командную строку и не хотят ждать, могут заранее удалить из файла корневые сертификаты, связанные с затронутыми цепочками доверия. Apple описала этот способ.

Сначала Apple предлагает удалить emSign ECC Root CA — G3. Это не остановит проверку шести сертификатов с перекрёстной подписью Sectigo: инструменты смогут принять их через AAA Certificate Services. Этот сертификат тоже можно удалить, но изменение затронет все инструменты, использующие /etc/ssl/cert.pem. После этого некоторые из них могут перестать проверять сертификаты сайтов, чьи цепочки проходят через незатронутые промежуточные центры.

Apple предупреждает: обновление macOS может заменить изменённый файл своей версией. До выхода обновления с исправлением администраторам потребуется проверять файл после каждой установки новой версии системы. Приложения с собственным списком корневых сертификатов могут не использовать ни блокировку Apple, ни /etc/ssl/cert.pem. По вопросам их работы компания советует обращаться к разработчикам.