Apple bloquea certificados comprometidos de eMudhra y prepara parche

Apple bloquea desde el 19 de octubre los certificados TLS comprometidos de la autoridad certificadora india eMudhra, según un documento de soporte de la compañía. El bloqueo funciona en Safari, Mail y en las apps que usan los marcos de red y seguridad de Apple. Aún falta una actualización de macOS con una corrección adicional.

Qué ocurrió

A principios de este mes, un investigador de seguridad descubrió que las claves criptográficas privadas de ocho certificados de autoridad certificadora intermedia de eMudhra eran débiles. Con ellas, unos atacantes podrían suplantar sitios web legítimos y poner en riesgo información sensible de los usuarios. Por ahora no hay pruebas de que las claves se hayan explotado de forma maliciosa.

Los certificados de eMudhra eran de confianza en todos los navegadores principales, como Safari, Chrome, Edge y Firefox. Apple y las demás empresas ya han tomado medidas para proteger a los usuarios.

Qué deben hacer los usuarios

La mayoría, nada. Apple afirma que los certificados se bloquean automáticamente y no hace falta actualizar el software, así que los usuarios habituales de iPhone, iPad y Mac ya están protegidos.

Hay una excepción. Algunas herramientas de línea de comandos de macOS, usadas por administradores de sistemas, pueden seguir aceptando los certificados comprometidos hasta que Apple publique una corrección. Mientras tanto, Apple indica que se pueden eliminar los certificados de CA raíz del archivo /etc/ssl/cert.pem.

Próximos pasos

Apple prevé lanzar una actualización de macOS que modifique por defecto el archivo /etc/ssl/cert.pem y haga innecesario el paso manual. La empresa no ha dado fecha de lanzamiento. Los administradores que dependan de la línea de comandos para conectarse a servidores externos pueden aplicar la solución temporal hasta entonces.