Over de gecompromitteerde intermediaire CA's van eMudhra

Je Apple apparaten blokkeren automatisch de gecompromitteerde certificaten in Safari, Mail en apps die gebruikmaken van frameworks van Apple. Werk de Mac bij naar de nieuwste versie van macOS om te voorkomen dat commandoregeltools deze certificaten accepteren.

Apple apparaten blokkeren automatisch de certificaten van de gecompromitteerde tussenliggende certificeringsinstanties (CA's) van eMudhra die TLS-certificaten uitgeven. Deze blokkering werkt in Safari, Mail en apps die gebruikmaken van netwerk- en beveiligingsframeworks van Apple.

Voor sommige commandoregeltools die bij macOS of de Xcode Command Line Tools worden geleverd, zoals curl en git, is een extra stap nodig om te voorkomen dat ze deze certificaten accepteren:

• Werk bij naar de nieuwste versie van macOS: de nieuwste versie van macOS bevat de sterkste beveiligingsmaatregelen. Vanaf macOS 27.2.1 accepteren deze commandoregeltools deze certificaten niet meer. Voor Mac-computers met macOS 26 of macOS 15 bieden macOS 26.7.3 en macOS 15.8.3 deze bescherming ook.

• Als je de Mac niet kunt bijwerken: als je deze commandoregeltools gebruikt, maar de Mac niet kunt bijwerken naar macOS 27.2.1, 26.7.3 of 15.8.3, kun je de root-CA-certificaten verwijderen uit /etc/ssl/cert.pem.

macOS bijwerken

Wat is er gebeurd?

De privésleutels van acht intermediaire CA's die door eMudhra worden beheerd, zijn gecompromitteerd. Twee van deze CA's reiken codeondertekeningscertificaten uit, die niet worden vertrouwd door de frameworks van Apple. De overige zes reiken TLS-certificaten uit. Iemand die over de sleutels van deze zes CA's beschikt, zou certificaten kunnen maken die geldig lijken voor elke website. eMudhra en Sectigo hebben de betrokken certificaten ingetrokken.

Elk van de zes intermediaire TLS-CA's heeft twee certificaten, dus twaalf in totaal:

• Een certificaat dat is uitgereikt door emSign Root TLS CA - G3 en waarvan de certificaatketen naar emSign ECC Root CA - G3 loopt

• Een door Sectigo kruiselings ondertekend certificaat waarvan de certificaatketen naar AAA Certificate Services loopt

Een lijst met deze twaalf certificaten bekijken

Wat Apple heeft gedaan

Apple blokkeert deze 12 certificaten en emSign ECC Root CA - G3 in Safari, Mail en apps die gebruikmaken van netwerk- en beveiligingsframeworks van Apple. Updates van configuratiegegevens voor certificaten worden automatisch en indien nodig naar apparaten verzonden. Je hoeft dus geen software-update te installeren om dit blok te ontvangen.

Vanaf macOS 27.2.1 blokkeert macOS deze 12 certificaten ook in de commandoregeltools die bij macOS of de Xcode Command Line Tools worden geleverd. Ook verwijdert macOS de twee root-CA-certificaten waarnaar de 12 certificaten teruggaan uit /etc/ssl/cert.pem, samen met drie andere root-CA-certificaten van eMudhra. macOS 26.7.3 en macOS 15.8.3 bieden deze bescherming ook.

De root-CA-certificaten bekijken die uit /etc/ssl/cert.pem zijn verwijderd

Als je je Mac niet kunt bijwerken

Op de Mac controleren sommige commandoregeltools die bij macOS of de commandoregeltools van Xcode worden meegeleverd (waaronder curl, git, python3, ruby, perl en openssl) certificaten aan de hand van /etc/ssl/cert.pem. Voor certificaten waarvan de certificaatketen naar een root-CA-certificaat in dit bestand loopt, controleren deze tools niet of Apple het certificaat heeft geblokkeerd en ook niet of het certificaat is ingetrokken.

Als je deze tools gebruikt, maar de Mac niet kunt bijwerken naar macOS 27.2.1, macOS 26.7.3 of macOS 15.8.3, kun je root-CA-certificaten uit het bestand verwijderen.

• Deze stappen zijn van toepassing op elke tool die gebruikmaakt van /etc/ssl/cert.pem. Daarna kunnen tools die alleen dit bestand gebruiken, sommige websites mogelijk niet verifiëren als de certificaatketen van die websites via niet-betrokken intermediaire CA's naar deze root-CA-certificaten loopt.

• Je hebt een beheerdersaccount nodig of je kunt de commando's implementeren met je oplossing voor apparaatbeheer. Kopieer elk commando exact zoals deze is geschreven. Lees wat je moet doen als je een waarschuwing krijgt over mogelijke malware wanneer je het commando in Terminal plakt.

Root-CA-certificaten verwijderen uit /etc/ssl/cert.pem:

1. Maak een reservekopie van het bestand. Als er al een reservekopie bestaat, blijft deze met dit commando behouden:

   • [ -e /etc/ssl/cert.pem.orig ] || sudo cp -p /etc/ssl/cert.pem /etc/ssl/cert.pem.orig

2. Verwijder emSign ECC Root CA - G3. Met dit commando wordt een kopie van het bestand gemaakt zonder emSign ECC Root CA - G3, gecontroleerd of de kopie niet leeg is en het originele bestand vervangen. Bij een geslaagde uitvoering wordt er niets weergegeven:

   • t=$(mktemp) && awk -v s='=== /C=IN/OU=emSign PKI/O=eMudhra Technologies Limited/CN=emSign ECC Root CA - G3' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

3. Optioneel: als je emSign ECC Root CA - G3 verwijdert, kunnen deze tools de zes certificaten die Sectigo van een kruiselingse handtekening heeft voorzien nog steeds accepteren, omdat ze deze via AAA Certificate Services kunnen verifiëren. Om te voorkomen dat deze tools die zes certificaten via het bestand accepteren, kun je ook AAA Certificate Services verwijderen. Dit commando werkt op dezelfde manier als het commando in stap 2:

   • t=$(mktemp) && awk -v s='=== /C=GB/ST=Greater Manchester/L=Salford/O=Comodo CA Limited/CN=AAA Certificate Services' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

4. Controleer het resultaat. Dit commando geeft elk root-CA-certificaat weer dat nog in het bestand staat. Als je beide hebt verwijderd, wordt er niets weergegeven. Als het commando een foutmelding geeft, zet je de reservekopie uit stap 1 terug.

   • openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services'

Voer na elke software-update de opdracht in stap 4 uit. Als er een root-CA-certificaat wordt vermeld dat je hebt verwijderd, herhaal je deze stappen.

Nadat je de Mac hebt bijgewerkt naar macOS 27.2.1, macOS 26.7.3 of macOS 15.8.3, hoef je deze stappen niet te herhalen. Verwijder je back-up met sudo rm /etc/ssl/cert.pem.orig en herstel geen back-up die je vóór de update hebt gemaakt.

Geblokkeerde certificaten

Root-CA-certificaten verwijderd uit /etc/ssl/cert.pem

In macOS 27.2.1, macOS 26.7.3 en macOS 15.8.3 worden deze root-CA-certificaten uit /etc/ssl/cert.pem verwijderd. Tools die alleen dit bestand gebruiken, kunnen sommige websites mogelijk niet verifiëren als de certificaatketen van die websites teruggaat naar deze root-CA-certificaten.