Apple заблокировала опасные сертификаты, которые позволяли подделывать сайты

Apple заблокировала восемь скомпрометированных сертификатов безопасности, которые могли использоваться для создания поддельных сайтов и имитации легитимных интернет-ресурсов. Проблема связана с индийским центром сертификации eMudhra: исследователи обнаружили, что закрытые ключи некоторых сертификатов были настолько слабыми, что их можно было восстановить практически мгновенно.

Как сообщает MacRumors со ссылкой на BleepingComputer, меры защиты уже приняли Apple, Google и Mozilla. Это снижает риск того, что браузеры будут доверять поддельным сертификатам и позволят злоумышленникам выдавать мошеннический сайт за настоящий. Однако для компьютеров Mac остается отдельный нюанс: некоторые системные инструменты могут продолжать доверять скомпрометированным сертификатам.

Почему сертификаты представляли угрозу

Сертификаты TLS подтверждают подлинность сайтов и помогают устанавливать защищенное соединение между браузером и сервером. Если злоумышленник получает возможность выпускать сертификаты, которым доверяет программное обеспечение, он может попытаться выдать поддельный ресурс за настоящий и создать условия для перехвата данных.

В случае eMudhra проблема оказалась связана с генерацией криптографических ключей. По данным расследования Mozilla, закрытые ключи восьми промежуточных сертификатов представляли собой числа меньше 256. Вместо сложного криптографического секрета фактически использовались значения, которые можно было подобрать перебором всего 256 вариантов.

Шесть сертификатов предназначались для подтверждения подлинности сайтов, а еще два использовались для цифровой подписи программного обеспечения. Таким образом, ошибка затрагивала не только защиту веб-соединений, но и инфраструктуру доверия к подписанному коду.

Apple закрыла уязвимость, но на Mac сохраняется ограничение

После обнаружения проблемы производители браузеров и операционных систем начали блокировать скомпрометированные сертификаты. Mozilla и Google приняли меры 17 октября, Apple добавила защиту в iOS и iPadOS 19 октября, а Microsoft также присоединилась к блокировке. Сам центр сертификации eMudhra отозвал затронутые сертификаты.

Для большинства пользователей iPhone и iPad это означает, что стандартные средства просмотра сайтов получили дополнительную защиту без необходимости вручную удалять сертификаты. Тем не менее ситуация с macOS сложнее: по данным специалиста Mozilla Денниса Джексона, некоторые встроенные инструменты командной строки, включая curl, могут использовать хранилище сертификатов, которое не проверяет информацию об отзыве.

Поэтому блокировка в браузере не обязательно означает, что все приложения и системные утилиты на компьютере уже защищены одинаково. Особенно это важно для разработчиков и системных администраторов, которые используют командную строку для подключения к сайтам и загрузки данных.

Есть ли риск для обычных пользователей

На данный момент публичных подтверждений того, что злоумышленники использовали эти ключи для реальных атак, нет. Кроме того, по сведениям исследователей, большинство затронутых сертификатов не применялись в рабочей инфраструктуре. Это снижает предполагаемый масштаб инцидента, хотя не отменяет серьезности самой ошибки.

Пользователям устройств Apple стоит установить последние доступные обновления iOS, iPadOS и macOS, а также обновить браузеры и другие программы. Владельцам Mac, которые работают с сетевыми инструментами через Терминал, следует учитывать, что отдельные утилиты могут обрабатывать сертификаты иначе, чем Safari.

Для пользователей в Украине практический совет остается таким же: обновлять устройства и программы, не игнорировать системные предупреждения о безопасности и не вводить пароли на сайтах, подлинность которых вызывает сомнения. Даже действующий на вид защищенный адрес HTTPS сам по себе не гарантирует безопасность, если механизм проверки сертификатов работает некорректно.

Теги:

Источник