Apple sperrt kompromittierte eMudhra-Zertifikate, macOS-Update folgt

Apple blockiert seit dem 19. Oktober kompromittierte TLS-Zertifikate der indischen Zertifizierungsstelle eMudhra. Das geht aus einem Support-Dokument des Unternehmens hervor. Die Sperre gilt in Safari, Mail und in Apps, die Apples Netzwerk- und Sicherheits-Frameworks nutzen. Ein macOS-Update mit einer weiteren Korrektur steht noch aus.

Was passiert ist

Anfang des Monats entdeckte ein Sicherheitsforscher, dass die privaten kryptografischen Schlüssel von acht Zwischenzertifikaten von eMudhra schwach waren. Mit solchen Schlüsseln könnten Angreifer legitime Websites imitieren und so sensible Nutzerdaten gefährden. Hinweise auf einen tatsächlichen Missbrauch gibt es derzeit nicht.

Die Zertifikate von eMudhra galten in allen großen Browsern als vertrauenswürdig, darunter Safari, Chrome, Edge und Firefox. Apple und die Hersteller der anderen Browser haben inzwischen reagiert.

Was Nutzer tun müssen

Die meisten müssen nichts tun. Laut Apple werden die Zertifikate automatisch gesperrt, ein Software-Update ist nicht nötig. Gewöhnliche iPhone-, iPad- und Mac-Nutzer sind damit bereits geschützt.

Eine Ausnahme gibt es: Manche macOS-Kommandozeilen-Tools, die etwa Systemadministratoren verwenden, können die kompromittierten Zertifikate weiterhin akzeptieren, bis Apple ein Update liefert. Übergangsweise können Betroffene die Root-CA-Zertifikate aus der Datei /etc/ssl/cert.pem entfernen.

Wie es weitergeht

Apple will ein macOS-Update veröffentlichen, das die Datei /etc/ssl/cert.pem standardmäßig anpasst und den manuellen Schritt überflüssig macht. Einen Termin nennt das Unternehmen bislang nicht. Administratoren, die für Verbindungen zu externen Servern auf Kommandozeilen-Tools setzen, sollten die Zwischenlösung bis dahin in Betracht ziehen.