macOS 27.2.1 закрила діру із сертифікатами eMudhra в терміналі

Apple випустила macOS 27.2.1, 26.7.3 і 15.8.3 та закрила останню шпарину, що лишалася після відкликання сертифікатів індійського центру сертифікації eMudhra. Якщо у вас Mac, встановіть оновлення: до нього консольні програми на кшталт curl і git могли й далі довіряти підробленим сертифікатам.

Нагадаємо, з чого все почалося. У жовтні Mozilla повідомила, що приватні ключі восьми проміжних центрів сертифікації eMudhra скомпрометовано. З такими ключами зловмисник випускає сертифікат для будь-якого сайту, а браузер сприймає його за справжній. Далі можливі підміна сторінки банку чи пошти та перехоплення даних. Подробиці першої хвилі ми розбирали раніше.

Що Apple вже зробила і чого бракувало

З 19 жовтня Apple блокувала ці сертифікати автоматично, а 23 жовтня додала захист. Оновлювати систему для цього не треба було: правила надходили через службові оновлення конфігурації сертифікатів. Блокування працювало в Safari, Пошті та застосунках, що користуються мережевими й захисними фреймворками Apple. Проте консольні утиліти, зокрема curl і git, лишалися осторонь і далі приймали скомпрометовані сертифікати. Для адміністраторів Apple опублікувала інструкцію з ручними кроками.

Що змінюють нові версії

У macOS 27.2.1, 26.7.3 і 15.8.3 консольні інструменти більше не довіряють цим сертифікатам, тож ручний обхідний шлях не потрібен. Заодно з файлу /etc/ssl/cert.pem прибрали п'ять кореневих сертифікатів, серед них три eMudhra, яких не було в початковому списку Apple.

Оновитися можна через «Системні налаштування → Загальні → Оновлення ПЗ». Якщо з якоїсь причини це неможливо, ручні кроки та перелік із 12 уражених сертифікатів із відбитками SHA-256 є в документі підтримки Apple.

Є застереження. Деякі програми зберігають власний перелік кореневих сертифікатів і не зважають ні на блокування Apple, ні на cert.pem. Apple радить уточнювати в розробників, як із цим у конкретному застосунку.

Звичайному користувачеві, який сидить у Safari та Пошті, небезпека й раніше була невелика. А ось тим, хто працює в терміналі, завантажує скрипти через curl або тягне репозиторії через git, оновлення потрібніше за все.