Despre autoritățile de certificare (CA) intermediare eMudhra compromise

Dispozitivele tale Apple blochează automat certificatele compromise în Safari, Mail și în aplicațiile care utilizează cadrele Apple. Pentru ca instrumentele din linia de comandă de pe Mac să nu le mai accepte, actualizează la cea mai recentă versiune de macOS.

Dispozitivele Apple blochează automat certificatele autorităților de certificare (CA) intermediare eMudhra compromise care emit certificate TLS. Această blocare se aplică în Safari, Mail și în aplicațiile care utilizează cadrele de rețea și securitate Apple.

Unele instrumente din linia de comandă incluse în macOS sau în Instrumentele din linia de comandă Xcode, cum ar fi curl și git, necesită un pas suplimentar pentru a nu mai accepta aceste certificate:

• Actualizează la cea mai recentă versiune de macOS: cea mai recentă versiune de macOS include cele mai puternice protecții de securitate. Începând cu macOS 27.2.1, aceste instrumente din linia de comandă nu mai acceptă aceste certificate. Pentru computerele Mac care utilizează macOS 26 sau macOS 15, macOS 26.7.3 și macOS 15.8.3 includ, de asemenea, această protecție.

• Dacă nu poți actualiza computerul Mac: dacă utilizezi aceste instrumente din linia de comandă, dar nu poți actualiza computerul Mac la macOS 27.2.1, 26.7.3 sau 15.8.3, poți elimina certificatele CA rădăcină din /etc/ssl/cert.pem.

Actualizarea sistemului de operare macOS

Ce s-a întâmplat

Cheile private ale opt autorități de certificare (CA) intermediare operate de eMudhra au fost compromise. Două dintre aceste CA-uri emit certificate pentru semnarea codului, care nu sunt considerate de încredere de cadrele software Apple. Celelalte șase emit certificate TLS. O persoană care deține cheile acestor șase CA-uri ar putea crea certificate care par valide pentru orice site web. eMudhra și Sectigo au revocat certificatele afectate.

Fiecare dintre cele 6 CA-uri intermediare TLS are câte 2 certificate, în total 12:

• Un certificat emis de emSign Root TLS CA - G3, al cărui lanț de certificare ajunge la emSign ECC Root CA - G3

• Un certificat semnat încrucișat de Sectigo, al cărui lanț de certificare ajunge la AAA Certificate Services

Vezi o listă cu aceste 12 certificate

Ce a făcut Apple

Apple blochează aceste 12 certificate și certificatul emSign ECC Root CA - G3 în Safari, Mail și în aplicațiile care utilizează cadrele de rețea și securitate Apple. Actualizările datelor de configurare a certificatelor sunt trimise automat dispozitivelor, după cum este necesar, astfel încât nu trebuie să instalezi o actualizare software pentru a beneficia de această blocare.

Începând cu macOS 27.2.1, macOS blochează, de asemenea, aceste 12 certificate în instrumentele din linia de comandă incluse în macOS sau în Instrumentele din linia de comandă Xcode. De asemenea, elimină din /etc/ssl/cert.pem cele două certificate CA rădăcină al căror lanț de certificare ajunge la cele 12 certificate, precum și alte trei certificate rădăcină CA eMudhra. macOS 26.7.3 și macOS 15.8.3 includ, de asemenea, această protecție.

Vizualizează certificatele CA rădăcină eliminate din /etc/ssl/cert.pem

Dacă nu poți actualiza computerul Mac

Pe Mac, unele instrumente din linia de comandă incluse în macOS sau în Instrumentele din linia de comandă Xcode (inclusiv curl, git, python3, ruby, perl și openssl) verifică certificatele folosind fișierul /etc/ssl/cert.pem. Pentru certificatele al căror lanț de certificare ajunge la un certificat CA rădăcină din acest fișier, aceste instrumente nu verifică blocarea impusă de Apple și nici dacă certificatul a fost revocat.

Dacă utilizezi aceste instrumente, dar nu poți actualiza computerul Mac la macOS 27.2.1, macOS 26.7.3 sau macOS 15.8.3, poți elimina certificatele CA rădăcină din fișier.

• Acești pași afectează toate instrumentele care utilizează /etc/ssl/cert.pem. Ulterior, este posibil ca instrumentele care utilizează exclusiv acest fișier să nu poată verifica anumite site-uri web ale căror certificate au un lanț de certificare către aceste certificate CA rădăcină prin CA-uri intermediare care nu au fost afectate.

• Ai nevoie de un cont de administrator sau poți implementa comenzile folosind soluția ta de administrare a dispozitivelor. Copiază fiecare comandă exact așa cum este scrisă. Află ce trebuie să faci dacă primești o alertă privind un posibil malware atunci când lipești comanda în Terminal.

Pentru a elimina certificatele CA rădăcină din /etc/ssl/cert.pem:

1. Fă backup pentru fișier. Dacă există deja un backup, această comandă îl păstrează:

   • [ -e /etc/ssl/cert.pem.orig ] || sudo cp -p /etc/ssl/cert.pem /etc/ssl/cert.pem.orig

2. Elimină emSign ECC Root CA - G3. Această comandă efectuează o copie a fișierului fără emSign ECC Root CA - G3, verifică dacă această copie nu este goală și înlocuiește fișierul original. Dacă operațiunea reușește, nu afișează nimic:

   • t=$(mktemp) && awk -v s='=== /C=IN/OU=emSign PKI/O=eMudhra Technologies Limited/CN=emSign ECC Root CA - G3' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

3. Opțional: eliminarea emSign ECC Root CA - G3 nu împiedică aceste instrumente să accepte cele șase certificate semnate încrucișat de Sectigo, deoarece aceste instrumente le pot verifica în continuare prin AAA Certificate Services. Pentru a împiedica aceste instrumente să accepte cele șase certificate prin intermediul fișierului, poți elimina și AAA Certificate Services. Această comandă funcționează la fel ca cea de la pasul 2:

   • t=$(mktemp) && awk -v s='=== /C=GB/ST=Greater Manchester/L=Salford/O=Comodo CA Limited/CN=AAA Certificate Services' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

4. Verifică rezultatul. Această comandă afișează oricare dintre certificatele CA rădăcină, dacă se mai află în fișier. Dacă le-ai eliminat pe ambele, nu afișează nimic. Dacă această comandă afișează o eroare, restaurează backupul de la pasul 1.

   • openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services'

După fiecare actualizare de software, execută comanda de la pasul 4. Dacă este listat un certificat CA rădăcină pe care l-ai eliminat, repetă acești pași.

După ce actualizezi la macOS 27.2.1, macOS 26.7.3 sau macOS 15.8.3, nu trebuie să repeți acești pași. Șterge backupul folosind sudo rm /etc/ssl/cert.pem.orig și nu restaura un backup creat înainte de actualizare.

Certificate blocate

Certificatele CA rădăcină eliminate din /etc/ssl/cert.pem

macOS 27.2.1, macOS 26.7.3 și macOS 15.8.3 elimină aceste certificate CA rădăcină din /etc/ssl/cert.pem. Este posibil ca instrumentele care utilizează numai acest fișier să nu poată verifica unele site-uri web ale căror certificate formează un lanț de certificare până la aceste certificate CA rădăcină.