Apple、eMudhraの脆弱な証明書をブロック macOS修正は準備中

Appleは、インドのeMudhraが発行した脆弱なTLS証明書を、10月19日からSafari、Mail、およびAppleのネットワーク／セキュリティフレームワークを使うアプリでブロックしている。同社のサポート文書で明らかにした。ブロックは自動で適用され、ソフトウェアアップデートは不要なため、大半のユーザーは何もする必要がない。

問題の経緯

今月初め、セキュリティ研究者が、eMudhraの中間認証局(CA)証明書8件に関連する秘密鍵が脆弱であることを発見した。この鍵が悪用されれば、攻撃者が正規サイトになりすまし、ユーザーの機密情報が危険にさらされるおそれがあった。ただし、現時点で鍵が悪用された証拠は確認されていない。

eMudhraの証明書はSafari、Chrome、Edge、Firefoxなど主要ブラウザで広く信頼されていたが、Appleをはじめ各ブラウザの提供元はすでに対策を講じている。

コマンドラインツールは例外

例外はmacOSのコマンドラインツールだ。システム管理者などが使う一部のツールは、修正を含むmacOSアップデートが公開されるまで、問題の証明書を受け入れる可能性がある。Appleは当面の対処として、/etc/ssl/cert.pemファイルからルートCA証明書を削除するよう案内している。

このファイルの変更を初期状態で含むmacOSアップデートの公開日は、まだ示されていない。技術的な詳細はAppleのサポート文書に記載されている。