О скомпрометированных промежуточных центрах сертификации eMudhra

Устройства Apple автоматически блокируют скомпрометированные сертификаты в Safari, Почте и приложениях, использующих фреймворки Apple. Чтобы инструменты командной строки на Mac перестали их принимать, обновите macOS до последней версии.

Устройства Apple автоматически блокируют сертификаты скомпрометированных промежуточных центров сертификации (ЦС) eMudhra, выдающих сертификаты TLS. Эта блокировка работает в Safari, Почте и приложениях, использующих сетевые фреймворки и фреймворки безопасности Apple.

Некоторые инструменты командной строки, поставляемые с macOS, или инструменты командной строки Xcode (такие как curl и git), требуют дополнительного шага, чтобы перестать принимать эти сертификаты.

• Обновите macOS до последней версии: последняя версия macOS содержит самые надежные средства защиты. Начиная с macOS 27.2.1, эти инструменты командной строки перестают принимать данные сертификаты. Для компьютеров Mac с macOS 26 или macOS 15 версии macOS 26.7.3 и macOS 15.8.3 также включают эту защиту.

• Если вы не можете обновить Mac: если вы используете эти инструменты командной строки, но не можете обновить Mac до macOS 27.2.1, 26.7.3 или 15.8.3, вы можете удалить корневые сертификаты ЦС из файла /etc/ssl/cert.pem.

Обновление macOS

Что произошло

Закрытые ключи восьми промежуточных ЦС, находящихся под управлением eMudhra, были скомпрометированы. Два из этих ЦС выдают сертификаты подписи кода, которым не доверяют фреймворки Apple. Остальные шесть выдают TLS-сертификаты. Злоумышленник, получивший ключи от этих шести ЦС, мог бы создать сертификаты, которые казались бы действительными для любого веб-сайта. Центры eMudhra и Sectigo отозвали затронутые сертификаты.

Каждый из 6 промежуточных ЦС TLS имеет 2 сертификата, всего 12:

• Сертификат, выданный ЦС emSign Root TLS CA - G3, который образует цепочку с ЦС emSign ECC Root CA - G3

• Сертификат с перекрестной подписью Sectigo, который образует цепочку с AAA Certificate Services

Просмотр списка этих 12 сертификатов

Действия Apple

Apple блокирует эти 12 сертификатов и emSign ECC Root CA - G3 в Safari, Почте и приложениях, использующих сетевые фреймворки и фреймворки безопасности Apple. Обновления данных конфигурации сертификатов отправляются на устройства автоматически и по мере необходимости, поэтому для получения этой блокировки не нужно устанавливать обновление программного обеспечения.

Начиная с macOS 27.2.1, macOS также блокирует эти 12 сертификатов в инструментах командной строки, поставляемых с macOS, или в инструментах командной строки Xcode. Она также удаляет из файла /etc/ssl/cert.pem два корневых сертификата ЦС, с которыми эти 12 сертификатов образуют цепочку, наряду с тремя другими корневыми сертификатами ЦС eMudhra. macOS 26.7.3 и macOS 15.8.3 также обеспечивают эту защиту.

Просмотр корневых сертификатов ЦС, удаленных из файла /etc/ssl/cert.pem

Если не удается обновить устройство Mac

На Mac некоторые инструменты командной строки, поставляемые с macOS, или инструменты командной строки Xcode (включая curl, git, python3, ruby, perl и openssl) сверяют сертификаты с файлом /etc/ssl/cert.pem. Для сертификатов, которые образуют цепочку с корневым сертификатом ЦС в этом файле, эти инструменты не проверяют блокировку Apple или факт отзыва сертификата.

Если используются эти инструменты, но не удается обновить устройство Mac до macOS 27.2.1, macOS 26.7.3 или macOS 15.8.3, можно удалить корневые сертификаты ЦС из файла.

• Эти действия повлияют на все инструменты, использующие файл /etc/ssl/cert.pem. После этого инструменты, использующие только этот файл, возможно, не смогут проверять некоторые веб-сайты, чьи сертификаты образуют цепочку с этими корневыми сертификатами ЦС через незатронутые промежуточные ЦС.

• Потребуется учетная запись администратора, либо команды можно развернуть с помощью решения для управления устройствами. Точно скопируйте каждую команду. Узнайте, что делать, если при вставке команды в приложение «Терминал» появляется предупреждение о возможном вредоносном ПО.

Удаление корневых сертификатов ЦС из файла /etc/ssl/cert.pem:

1. Создайте резервную копию файла. Если резервная копия уже существует, эта команда сохранит ее:

   • [ -e /etc/ssl/cert.pem.orig ] || sudo cp -p /etc/ssl/cert.pem /etc/ssl/cert.pem.orig

2. Удалите сертификат emSign ECC Root CA - G3. Эта команда создает копию файла без сертификата emSign ECC Root CA - G3, проверяет, не пуста ли копия, и заменяет оригинал. В случае успеха команда не выводит никаких сообщений:

   • t=$(mktemp) && awk -v s='=== /C=IN/OU=emSign PKI/O=eMudhra Technologies Limited/CN=emSign ECC Root CA - G3' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

3. Необязательно: удаление emSign ECC Root CA - G3 не помешает этим инструментам принимать шесть сертификатов с перекрестной подписью Sectigo, поскольку эти инструменты все еще могут проверять их через AAA Certificate Services. Чтобы эти инструменты перестали принимать эти шесть сертификатов через файл, можно также удалить AAA Certificate Services. Эта команда работает так же, как команда на шаге 2:

   • t=$(mktemp) && awk -v s='=== /C=GB/ST=Greater Manchester/L=Salford/O=Comodo CA Limited/CN=AAA Certificate Services' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

4. Проверьте результат. Эта команда выведет любой из этих корневых сертификатов ЦС, если он все еще находится в файле. Если удалены оба сертификата, команда не выведет никаких сообщений. Если при выполнении команды возникает ошибка, восстановите резервную копию, созданную на шаге 1.

   • openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services'

После каждого обновления программного обеспечения выполняйте команду из шага 4. Если она выведет удаленный корневой сертификат ЦС, повторите эти действия.

После обновления до macOS 27.2.1, macOS 26.7.3 или macOS 15.8.3 повторять эти действия не нужно. Удалите резервную копию с помощью команды sudo rm /etc/ssl/cert.pem.orig и не восстанавливайте резервную копию, созданную до обновления.

Заблокированные сертификаты

Корневые сертификаты ЦС, удаленные из файла /etc/ssl/cert.pem

macOS 27.2.1, macOS 26.7.3 и macOS 15.8.3 удаляют эти корневые сертификаты ЦС из файла /etc/ssl/cert.pem. Инструменты, использующие только этот файл, могут не проверять некоторые веб-сайты, чьи сертификаты образуют цепочку с этими корневыми сертификатами ЦС.