macOS 27.2.1 закрыла дыру с сертификатами eMudhra в терминале

Apple выпустила macOS 27.2.1, 26.7.3 и 15.8.3 и закрыла последнюю лазейку, которая оставалась после отзыва сертификатов индийского удостоверяющего центра eMudhra. Если у вас Mac, поставьте обновление: до него консольные программы вроде curl и git всё ещё могли доверять поддельным сертификатам.

Напомним, с чего всё началось. В октябре Mozilla сообщила, что закрытые ключи восьми промежуточных центров сертификации eMudhra скомпрометированы. С такими ключами злоумышленник выпускает сертификат для любого сайта, и браузер принимает его за настоящий. Дальше возможны подмена страницы банка или почты и перехват данных. Подробности первой волны мы разбирали раньше.

Что Apple уже сделала и чего не хватало

С 19 октября Apple блокировала эти сертификаты автоматически, 23 октября добавила защиту. Обновлять систему для этого не требовалось: правила приходили через служебные обновления конфигурации сертификатов. Блокировка работала в Safari, Почте и приложениях, которые используют сетевые и защитные фреймворки Apple. Но консольные утилиты, в том числе curl и git, оставались в стороне и по-прежнему принимали скомпрометированные сертификаты. Для администраторов Apple выпустила инструкцию с ручными шагами.

Что меняют новые версии

В macOS 27.2.1, 26.7.3 и 15.8.3 консольные инструменты перестали доверять этим сертификатам, так что ручной обходной путь больше не нужен. Заодно из файла /etc/ssl/cert.pem убрали пять корневых сертификатов, среди них три eMudhra, которых не было в первоначальном списке Apple.

Обновиться можно через «Системные настройки → Основные → Обновление ПО». Если по какой-то причине это невозможно, ручные шаги и список из 12 затронутых сертификатов с отпечатками SHA-256 лежат в документе поддержки Apple.

Есть оговорка. Некоторые программы хранят собственный список корневых сертификатов и не смотрят ни на блокировку Apple, ни на cert.pem. Apple советует уточнять у разработчиков, как с этим обстоят дела в конкретном приложении.

Обычному пользователю, который сидит в Safari и Почте, опасность и раньше была невелика. А вот тем, кто работает в терминале, качает скрипты через curl или тянет репозитории через git, обновление нужнее всего.