Blockera förtroende för WoSign CA Free SSL Certificate G2
Certificate Authority WoSign fick flera kontrollfel under certifikatutfärdandeprocessen för WoSign CA Free SSL Certificate G2 intermediate CA. Även om ingen WoSign-rot finns med i listan över Apple-betrodda rötter använde detta mellanliggande CA tvärsignerade certifikatförhållanden med StartCom och Comodo för att bli betrott på Apple-produkter.
Mot bakgrund av detta vidtog vi åtgärder för att skydda användare i en säkerhetsuppdatering. Apple-produkter betraktar inte längre WoSign CA Free SSL Certificate G2 intermediate CA som tillförlitliga.
I syfte att undvika störningar för befintliga WoSign-certifikatinnehavare och ge dem tid att gå över till betrodda rötter förlitar Apple-produkter sig på enskilda befintliga certifikat som utfärdats från detta mellanliggande CA och publicerats till offentliga Certificate Transparency-loggservrar till och med 2016-09-19. De fortsätter vara betrodda tills de utgår, återkallas eller inte betraktas som tillförlitliga baserat på Apples bedömning.
Allt medan utredningen pågår vidtar vi vid behov fler åtgärder mot WoSign/StartCom-tillitsankare i Apple-produkter för att skydda användare.
Ytterligare steg för WoSign
Efter närmare utredning har vi kommit fram till att WoSign inte avslöjade förvärvet av StartCom. Det finns dessutom flera kontrollfel i WoSign CA:s (Certificate Authority) verksamhet.
Vi vidtar ytterligare åtgärder för att skyddda användare i en kommande säkerhetsuppdatering. Apple-produkter blockerar certifikat från WoSign och StartCom root CA om ”Inte före”-datumet är den 1 dec 2016 00.00.00 GMT/UTC eller senare.
Om tillförlitlighet och certifikat
Varje tvOS Trust Store i listan nedan innehåller tre kategorier med certifikat:
- Tillförlitliga certifikat skapar en kedja med förtroenden som verifierar de andra certifikaten som signerats av de tillförlitliga rotcertifikaten, exempelvis i syfte att upprätta en säker anslutning till en webbserver. När IT-administratörer skapar konfigurationsprofiler för tvOS behöver de inte ta med dessa tillförlitliga rotcertifikat.
- Fråga alltid används för certifikat som inte är tillförlitliga men som inte blockeras. När något av dessa certifikat används blir du tillfrågad om du vill lita på det eller inte.
- Blockerade certifikat betraktas som skadliga och går aldrig att lita på.