Apple, ele geçirilen eMudhra sertifikalarını engelledi, macOS düzeltmesi geliyor

Apple, Hindistan merkezli sertifika otoritesi eMudhra'nın ele geçirilmiş TLS web sertifikalarını 19 Ekim'den bu yana engelliyor. Şirketin destek belgesine göre engel Safari'de, Mail'de ve Apple'ın ağ ile güvenlik çerçevelerini kullanan uygulamalarda geçerli. Ek bir düzeltme içeren macOS güncellemesi ise henüz yayımlanmadı.

Sorun neydi?

Bu ayın başında bir güvenlik araştırmacısı, eMudhra'nın sekiz ara sertifika otoritesi sertifikasına bağlı özel kriptografik anahtarların zayıf olduğunu keşfetti. Bu tür anahtarlar saldırganların meşru web sitelerini taklit etmesine ve kullanıcıların hassas bilgilerini riske atmasına yol açabilir. Anahtarların kötü niyetle kullanıldığına dair şu an bir kanıt yok.

eMudhra sertifikaları Safari, Chrome, Edge ve Firefox dahil tüm büyük tarayıcılarda güvenilir kabul ediliyordu. Apple ve diğer tarayıcıların arkasındaki şirketler kullanıcıları korumak için harekete geçti.

Kullanıcılar ne yapmalı?

Çoğu kullanıcının yapması gereken bir şey yok. Apple, sertifikaların otomatik olarak engellendiğini ve yazılım güncellemesi gerekmediğini belirtiyor; yani sıradan iPhone, iPad ve Mac kullanıcıları zaten korunuyor.

Bir istisna var: Sistem yöneticilerinin sıkça kullandığı bazı macOS komut satırı araçları, Apple düzeltmeyi yayımlayana kadar ele geçirilmiş sertifikaları kabul etmeye devam edebiliyor. Apple, bu süreçte kullanıcıların kök CA sertifikalarını /etc/ssl/cert.pem dosyasından silebileceğini söylüyor.

Sırada ne var?

Apple, /etc/ssl/cert.pem dosyasında gerekli değişiklikleri varsayılan olarak yapacak bir macOS güncellemesi hazırlıyor ve böylece elle müdahale gerekmeyecek. Şirket henüz bir çıkış tarihi açıklamadı. Harici sunuculara bağlanmak için komut satırı araçlarına güvenen yöneticiler, o zamana kadar bu geçici çözümü uygulayabilir.