Informácie o kompromitovaných sprostredkovateľských certifikačných autoritách eMudhra

Vaše zariadenia Apple automaticky blokujú kompromitované certifikáty v Safari, apke Mail a apkách, ktoré používajú frameworky spoločnosti Apple. Ak chcete zabrániť tomu, aby ich nástroje príkazového riadka na Macu prijímali, aktualizujte systém macOS na najnovšiu verziu.

Zariadenia Apple automaticky blokujú certifikáty kompromitovaných sprostredkovateľských certifikačných autorít eMudhra, ktoré vydávajú certifikáty TLS. Toto blokovanie funguje v Safari, apke Mail a apkách, ktoré používajú sieťové a bezpečnostné frameworky spoločnosti Apple.

Niektoré nástroje príkazového riadka, ktoré sú súčasťou systému macOS alebo nástrojov príkazového riadka Xcode (napríklad curl a git), si vyžadujú ďalší krok, aby prestali prijímať tieto certifikáty:

• Aktualizujte systém macOS na najnovšiu verziu: Najnovšia verzia systému macOS obsahuje najsilnejšie bezpečnostné ochranné prvky. Od verzie macOS 27.2.1 už tieto nástroje príkazového riadka uvedené certifikáty neprijímajú. V prípade počítačov Mac so systémom macOS 26 alebo macOS 15 zahŕňajú túto ochranu aj systémy macOS 26.7.3 a macOS 15.8.3.

• Ak Mac nemožno aktualizovať: Ak používate tieto nástroje príkazového riadka, ale Mac nemožno aktualizovať na systém macOS 27.2.1, 26.7.3 alebo 15.8.3, môžete zo súboru /etc/ssl/cert.pem odstrániť certifikáty koreňových certifikačných autorít.

Aktualizácia systému macOS

Čo sa stalo

Súkromné kľúče ôsmich sprostredkovateľských certifikačných autorít prevádzkovaných spoločnosťou eMudhra boli kompromitované. Dve z týchto certifikačných autorít vydávajú certifikáty na podpisovanie kódu, ktorým frameworky spoločnosti Apple nedôverujú. Ďalších šesť vydáva certifikáty TLS. Ktokoľvek, kto by získal kľúče týchto šiestich certifikačných autorít, by mohol vytvoriť certifikáty, ktoré by sa javili ako platné pre ľubovoľnú webovú stránku. Spoločnosti eMudhra a Sectigo zrušili dotknuté certifikáty.

Každá zo 6 sprostredkovateľských certifikačných autorít TLS má 2 certifikáty, celkovo teda 12:

• Certifikát vydaný certifikačnou autoritou emSign Root TLS CA – G3, ktorý je prepojený s certifikačnou autoritou emSign ECC Root CA – G3

• Certifikát krížovo podpísaný spoločnosťou Sectigo, ktorý je prepojený s certifikačnou autoritou AAA Certificate Services

Zobraziť zoznam týchto 12 certifikátov

Čo spoločnosť Apple urobila

Spoločnosť Apple blokuje týchto 12 certifikátov a certifikačnú autoritu emSign ECC Root CA – G3 v Safari, apke Mail a apkách, ktoré používajú sieťové a bezpečnostné frameworky spoločnosti Apple. Aktualizácie konfiguračných údajov certifikátov sa do zariadení odosielajú automaticky a podľa potreby, takže na to, aby sa toto blokovanie uplatnilo, nemusíte inštalovať aktualizáciu softvéru.

Od verzie macOS 27.2.1 blokuje systém macOS týchto 12 certifikátov aj v nástrojoch príkazového riadka, ktoré sú súčasťou systému macOS alebo nástrojov príkazového riadka Xcode. Zo súboru /etc/ssl/cert.pem zároveň odstraňuje dva certifikáty koreňových certifikačných autorít, s ktorými je týchto 12 certifikátov prepojených, a tri ďalšie certifikáty koreňových certifikačných autorít spoločnosti eMudhra. Túto ochranu zahŕňajú aj systémy macOS 26.7.3 a macOS 15.8.3.

Zobraziť certifikáty koreňových certifikačných autorít odstránené zo súboru /etc/ssl/cert.pem

Ak Mac nemožno aktualizovať

Na Macu niektoré nástroje príkazového riadka, ktoré sú súčasťou systému macOS alebo nástrojov príkazového riadka Xcode (vrátane nástrojov curl, git, python3, ruby, perl a openssl), overujú certifikáty na základe súboru /etc/ssl/cert.pem. V prípade certifikátov, ktoré sú prepojené s certifikátom koreňovej certifikačnej autority uvedeným v tomto súbore, tieto nástroje neoverujú, či ich spoločnosť Apple blokuje ani či bol certifikát zrušený.

Ak používate tieto nástroje, ale Mac nemožno aktualizovať na systém macOS 27.2.1, macOS 26.7.3 alebo macOS 15.8.3, môžete zo súboru odstrániť certifikáty koreňových certifikačných autorít.

• Tieto kroky ovplyvnia každý nástroj, ktorý používa súbor /etc/ssl/cert.pem. Nástroje, ktoré používajú iba tento súbor, potom možno nebudú môcť overiť niektoré webové stránky, ktorých certifikáty sú prepojené s týmito certifikátmi koreňových certifikačných autorít prostredníctvom sprostredkovateľských certifikačných autorít, ktoré neboli ovplyvnené.

• Potrebujete účet správcu, prípadne môžete príkazy nasadiť pomocou riešenia na správu zariadení. Každý príkaz skopírujte presne tak, ako je napísaný. Prečítajte si, čo robiť, ak sa pri vkladaní príkazu do Terminálu zobrazí upozornenie na možný malvér.

Odstránenie certifikátov koreňových certifikačných autorít zo súboru /etc/ssl/cert.pem:

1. Zálohujte súbor. Ak záloha už existuje, tento príkaz ju zachová:

   • [ -e /etc/ssl/cert.pem.orig ] || sudo cp -p /etc/ssl/cert.pem /etc/ssl/cert.pem.orig

2. Odstráňte certifikačnú autoritu emSign ECC Root CA – G3. Tento príkaz vytvorí kópiu súboru bez certifikačnej autority emSign ECC Root CA – G3, skontroluje, či kópia nie je prázdna, a nahradí ňou pôvodný súbor. V prípade úspešného vykonania sa nič nezobrazí:

   • t=$(mktemp) && awk -v s='=== /C=IN/OU=emSign PKI/O=eMudhra Technologies Limited/CN=emSign ECC Root CA - G3' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

3. Voliteľné: Odstránením certifikačnej autority emSign ECC Root CA – G3 sa nezabráni tomu, aby tieto nástroje prijímali šesť certifikátov krížovo podpísaných spoločnosťou Sectigo, pretože ich stále môžu overiť prostredníctvom certifikačnej autority AAA Certificate Services. Ak chcete zabrániť tomu, aby tieto nástroje prijímali spomínaných šesť certifikátov prostredníctvom súboru, môžete odstrániť aj certifikačnú autoritu AAA Certificate Services. Tento príkaz funguje rovnako ako príkaz v kroku 2:

   • t=$(mktemp) && awk -v s='=== /C=GB/ST=Greater Manchester/L=Salford/O=Comodo CA Limited/CN=AAA Certificate Services' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

4. Skontrolujte výsledok. Tento príkaz zobrazí ktorýkoľvek z certifikátov koreňovej certifikačnej autority, ak sa ešte nachádza v súbore. Ak ste odstránili obe certifikačné autority, nezobrazí sa nič. Ak sa pri vykonaní príkazu zobrazí chyba, obnovte zálohu z kroku 1.

   • openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services'

Po každej aktualizácii softvéru spustite príkaz z kroku 4. Ak príkaz zobrazí certifikát koreňovej certifikačnej autority, ktorý ste odstránili, uvedené kroky zopakujte.

Po aktualizácii na systém macOS 27.2.1, macOS 26.7.3 alebo macOS 15.8.3 už tieto kroky nemusíte opakovať. Vymažte zálohu pomocou príkazu sudo rm /etc/ssl/cert.pem.orig a neobnovujte zálohu, ktorú ste vytvorili pred aktualizáciou.

Zablokované certifikáty

Certifikáty koreňových certifikačných autorít odstránené zo súboru /etc/ssl/cert.pem

Systémy macOS 27.2.1, macOS 26.7.3 a macOS 15.8.3 odstraňujú tieto certifikáty koreňových certifikačných autorít zo súboru /etc/ssl/cert.pem. Nástroje, ktoré používajú iba tento súbor, možno nebudú môcť overiť niektoré webové stránky, ktorých certifikáty sú prepojené s týmito certifikátmi koreňových certifikačných autorít.