關於安全性受損的 eMudhra 中繼 CA

Apple 裝置會自動在 Safari、「郵件」及使用 Apple 架構的 app 封鎖安全性已受損的證書。如要防止 Mac 的命令列工具接受這些證書，請更新至最新版本的 macOS。

Apple 裝置會自動封鎖安全性已受損、負責簽發 TLS 證書的 eMudhra 中繼證書機構 (CA) 的證書。此封鎖適用於 Safari、「郵件」，以及使用 Apple 網絡和保安架構的 app。

macOS 隨附的部分命令列工具或 Xcode 命令列工具 (例如 curl 和 git) 需要進行額外步驟，才能停止接受這些證書：

• 更新至最新版本的 macOS：最新版本的 macOS 具備最強的保安防護。由 macOS 27.2.1 起，這些命令列工具不會再接受這些證書。至於使用 macOS 26 或 macOS 15 的 Mac 電腦，macOS 26.7.3 和 macOS 15.8.3 亦包括這項保護。

• 如果無法更新 Mac：如果你使用這些指令列工具，但無法將 Mac 更新至 macOS 27.2.1、26.7.3 或 15.8.3，你可從 /etc/ssl/cert.pem 移除根 CA 證書。

更新 macOS

發生了什麼事

由 eMudhra 營運的八個中繼 CA 的專用密鑰安全性受損，其中兩個 CA 簽發程式碼簽署證書 (Apple 框架不信任這類證書)。其餘六個 CA 則簽發 TLS 證書，擁有這六個 CA 密鑰的人可以建立對任何網站看似有效的證書。eMudhra 和 Sectigo 已撤銷受影響的證書。

6 個 TLS 中繼 CA 各有 2 張證書，亦即共 12 張：

• 一張證書由 emSign Root TLS CA - G3 簽發，並串連至 emSign ECC Root CA - G3

• 另一張證書由 Sectigo 交叉簽發，並串連至 AAA Certificate Services

查看這 12 張證書的列表

Apple 已採取的措施

Apple 會在 Safari、「郵件」以及使用 Apple 網絡和保安架構的 app 封鎖這 12 個證書和 emSign ECC Root CA - G3。證書配置資料會按需要自動推送至裝置，因此你無需安裝軟件更新就能獲得此封鎖。

從 macOS 27.2.1 開始，macOS 亦會在 macOS 隨附的命令列工具或 Xcode 命令列工具中封鎖這 12 張證書。此外，系統亦會從 /etc/ssl/cert.pem 移除上述 12 張證書所串連的兩張根 CA 證書，以及另外三張 eMudhra 根 CA 憑證。macOS 26.7.3 和 macOS 15.8.3 亦包括這項防護。

查看從 /etc/ssl/cert.pem 移除的根 CA 證書

如果無法更新 Mac

在 Mac 上，部分隨 macOS 或 Xcode Command Line Tools 提供的命令列工具 (包括 curl、git、python3、ruby、perl 和 openssl) 會根據 /etc/ssl/cert.pem 檢查證書。如果證書串連到此檔案中的根 CA 證書，這些工具不會檢查 Apple 的封鎖措施或證書是否已被撤銷。

如果你使用這些工具，但無法將 Mac 更新至 macOS 27.2.1、macOS 26.7.3 或 macOS 15.8.3，你可從檔案移除根 CA 證書。

• 這些步驟會影響每個使用 /etc/ssl/cert.pem 的工具。之後，若部分網站的證書透過未受影響的中繼 CA 串連至這些根 CA 證書，只使用此檔案的工具便可能無法驗證這些網站。

• 你需要管理員帳户，或可以透過裝置管理解決方案部署命令。請直接複製每個命令，不要修改。了解如果將命令貼到「終端機」時收到有關潛在惡意軟件的警告時該怎樣做。

如要從 /etc/ssl/cert.pem 移除根 CA 證書：

1. 備份檔案。如果已有備份，此命令會將其保留：

   • [ -e /etc/ssl/cert.pem.orig ] || sudo cp -p /etc/ssl/cert.pem /etc/ssl/cert.pem.orig

2. 移除 emSign ECC Root CA - G3。此命令會複製不含 emSign ECC Root CA - G3 的檔案，然後檢查副本是否空白，並取代原檔案。成功時不會顯示任何內容：

   • t=$(mktemp) && awk -v s='=== /C=IN/OU=emSign PKI/O=eMudhra Technologies Limited/CN=emSign ECC Root CA - G3' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

3. 可選︰移除 emSign ECC Root CA - G3 並無法阻止這些工具接受 Sectigo 交叉簽署的 6 張證書，理由是這些工具仍可透過 AAA Certificate Services 驗證證書。如要阻止這些工具透過檔案接受這 6 張證書，你亦可以移除 AAA Certificate Services。此命令的運作方式與步驟 2 的命令相同：

   • t=$(mktemp) && awk -v s='=== /C=GB/ST=Greater Manchester/L=Salford/O=Comodo CA Limited/CN=AAA Certificate Services' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

4. 檢查結果。如果其中一張根 CA 證書仍在檔案中，此命令就會將其列出。如果兩者都已移除，就不會顯示任何內容。如果命令顯示錯誤，請從步驟 1 還原備份。

   • openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services'

每次軟件更新後，請執行步驟 4 的指令。如果系統列出你已移除的根 CA 證書，請重複上述步驟。

更新至 macOS 27.2.1、macOS 26.7.3 或 macOS 15.8.3 後，你便無需重複這些步驟。使用 sudo rm /etc/ssl/cert.pem.orig 刪除備份，且不要還原更新前製作的備份。

「已封鎖」證書

從 /etc/ssl/cert.pem 移除的根 CA 證書

macOS 27.2.1、macOS 26.7.3 和 macOS 15.8.3 會從 /etc/ssl/cert.pem 移除這些根 CA 證書。只使用此檔案的工具可能無法驗證其證書串連至這些根 CA 證書的部分網站。