Informationen zu den kompromittierten Zwischenzertifizierungsstellen von eMudhra

Deine Apple-Geräte blockieren die kompromittierten Zertifikate automatisch in Safari, Mail und Apps, die die Frameworks von Apple verwenden. Damit Befehlszeilenwerkzeuge auf dem Mac diese nicht mehr akzeptieren, aktualisiere auf die neueste Version von macOS.

Apple-Geräte blockieren automatisch die Zertifikate der kompromittierten eMudhra Intermediate Certification Authorities (CAs), die TLS-Zertifikate ausstellen. Diese Blockierung funktioniert in Safari, Mail und Apps, die die Netzwerk- und Sicherheits-Frameworks von Apple verwenden.

Einige Befehlszeilenwerkzeuge, die in macOS oder den Xcode Command Line Tools enthalten sind (wie curl und git), erfordern einen zusätzlichen Schritt, damit sie diese Zertifikate nicht mehr akzeptieren:

• Auf die neueste Version von macOS aktualisieren: Die neueste Version von macOS enthält die stärksten Sicherheitsschutzmaßnahmen. Ab macOS 27.2.1 akzeptieren diese Befehlszeilenwerkzeuge diese Zertifikate nicht mehr. Für Mac-Computer, die macOS 26 oder macOS 15 verwenden, enthalten macOS 26.7.3 und macOS 15.8.3 diesen Schutz ebenfalls.

• Wenn du deinen Mac nicht aktualisieren kannst: Wenn du diese Befehlszeilenwerkzeuge verwendest, deinen Mac aber nicht auf macOS 27.2.1, 26.7.3 oder 15.8.3 aktualisieren kannst, kannst du die Root-CA-Zertifikate aus /etc/ssl/cert.pem entfernen.

macOS aktualisieren

Was ist passiert

Die privaten Schlüssel von acht Zwischenzertifizierungsstellen, die von eMudhra betrieben werden, wurden kompromittiert. Zwei dieser Zertifizierungsstellen stellen Codesignaturzertifikate aus, denen die Frameworks von Apple nicht vertrauen. Die anderen sechs stellen TLS-Zertifikate aus. Jemand, der über die Schlüssel dieser sechs Zertifizierungsstellen verfügt, könnte Zertifikate erstellen, die für jede beliebige Website gültig erscheinen. eMudhra und Sectigo haben die betroffenen Zertifikate widerrufen.

Jede der 6 TLS-Zwischenzertifizierungsstellen hat 2 Zertifikate, also insgesamt 12:

• Ein von emSign Root TLS CA - G3 ausgestelltes Zertifikat, dessen Zertifikatskette zu emSign ECC Root CA - G3 führt

• Ein von Sectigo kreuzsigniertes Zertifikat, dessen Zertifikatskette zu AAA Certificate Services führt

Eine Liste dieser 12 Zertifikate anzeigen

Was Apple unternommen hat

Apple blockiert diese 12 Zertifikate und emSign ECC Root CA - G3 in Safari, Mail und Apps, die die Netzwerk- und Sicherheits-Frameworks von Apple verwenden. Updates für Zertifikatskonfigurationsdaten werden automatisch und bei Bedarf an Geräte gesendet, sodass du kein Softwareupdate installieren musst, um diese Blockierung zu erhalten.

Ab macOS 27.2.1 blockiert macOS diese 12 Zertifikate auch in den Befehlszeilentools, die in macOS oder den Xcode Befehlszeilentools enthalten sind. Außerdem werden die beiden Root-CA-Zertifikate, mit denen die 12 Zertifikate verkettet sind, zusammen mit drei weiteren eMudhra-Root-CA-Zertifikaten aus /etc/ssl/cert.pem entfernt. macOS 26.7.3 und macOS 15.8.3 enthalten diesen Schutz ebenfalls.

Die aus /etc/ssl/cert.pem entfernten Root-CA-Zertifikate anzeigen

Wenn du deinen Mac nicht aktualisieren kannst

Auf dem Mac überprüfen einige in macOS oder den Xcode-Befehlszeilentools enthaltene Befehlszeilentools (darunter curl, git, python3, ruby, perl und openssl) Zertifikate anhand von /etc/ssl/cert.pem. Bei Zertifikaten, deren Zertifikatskette zu einem Stammzertifikat einer Zertifizierungsstelle in dieser Datei führt, überprüfen diese Tools weder die Blockierung durch Apple noch, ob das Zertifikat widerrufen wurde.

Wenn du diese Werkzeuge verwendest, deinen Mac aber nicht auf macOS 27.2.1, macOS 26.7.3 oder macOS 15.8.3 aktualisieren kannst, kannst du Root-CA-Zertifikate aus der Datei entfernen.

• Diese Schritte wirken sich auf alle Tools aus, die /etc/ssl/cert.pem verwenden. Anschließend können Tools, die ausschließlich diese Datei verwenden, möglicherweise einige Websites nicht mehr verifizieren, deren Zertifikatsketten über nicht betroffene Zwischenzertifizierungsstellen zu diesen Stammzertifikaten einer Zertifizierungsstelle führen.

• Du benötigst einen Administratoraccount oder kannst die Befehle über deine Geräteverwaltungslösung bereitstellen. Kopiere jeden Befehl genau wie angegeben. Erfahre, was zu tun ist, wenn beim Einfügen des Befehls in Terminal eine Warnmeldung zu möglicher Schadsoftware angezeigt wird.

So entfernst du Stammzertifikate von Zertifizierungsstellen aus /etc/ssl/cert.pem:

1. Erstelle eine Sicherungskopie der Datei. Wenn bereits eine Sicherungskopie vorhanden ist, bleibt sie bei diesem Befehl erhalten:

   • [ -e /etc/ssl/cert.pem.orig ] || sudo cp -p /etc/ssl/cert.pem /etc/ssl/cert.pem.orig

2. Entferne emSign ECC Root CA - G3. Dieser Befehl erstellt eine Kopie der Datei ohne emSign ECC Root CA - G3, überprüft, ob die Kopie nicht leer ist, und ersetzt das Original. Bei erfolgreicher Ausführung wird nichts angezeigt:

   • t=$(mktemp) && awk -v s='=== /C=IN/OU=emSign PKI/O=eMudhra Technologies Limited/CN=emSign ECC Root CA - G3' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

3. Optional: Das Entfernen von emSign ECC Root CA - G3 hindert diese Werkzeuge nicht daran, die sechs von Sectigo kreuzsignierten Zertifikate zu akzeptieren, da diese Werkzeuge sie weiterhin über AAA Certificate Services verifizieren können. Damit diese Werkzeuge diese sechs Zertifikate nicht mehr über die Datei akzeptieren, kannst du auch AAA Certificate Services entfernen. Dieser Befehl funktioniert genauso wie der Befehl in Schritt 2:

   • t=$(mktemp) && awk -v s='=== /C=GB/ST=Greater Manchester/L=Salford/O=Comodo CA Limited/CN=AAA Certificate Services' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

4. Überprüfe das Ergebnis. Dieser Befehl listet die beiden Stammzertifikate der Zertifizierungsstellen auf, sofern sie noch in der Datei vorhanden sind. Wenn du beide entfernt hast, wird nichts angezeigt. Wenn bei der Ausführung des Befehls ein Fehler angezeigt wird, stelle die Sicherungskopie aus Schritt 1 wieder her.

   • openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services'

Führe nach jedem Softwareupdate den Befehl in Schritt 4 aus. Wenn ein von dir entferntes Stammzertifikat einer Zertifizierungsstelle aufgelistet wird, wiederhole diese Schritte.

Nachdem du auf macOS 27.2.1, macOS 26.7.3 oder macOS 15.8.3 aktualisiert hast, musst du diese Schritte nicht wiederholen. Lösche dein Backup mit sudo rm /etc/ssl/cert.pem.orig, und stelle kein Backup wieder her, das du vor dem Update erstellt hast.

Gesperrte Zertifikate

Aus /etc/ssl/cert.pem entfernte Stammzertifikate einer Zertifizierungsstelle

macOS 27.2.1, macOS 26.7.3 und macOS 15.8.3 entfernen diese Stammzertifikate einer Zertifizierungsstelle aus /etc/ssl/cert.pem. Werkzeuge, die nur diese Datei verwenden, können möglicherweise einige Websites nicht verifizieren, deren Zertifikate mit diesen Stammzertifikaten einer Zertifizierungsstelle verkettet sind.