Apple заблокировала скомпрометированные сертификаты eMudhra и готовит дополнительное исправление macOS

Apple заблокировала опасные TLS-сертификаты индийской компании eMudhra, слабые криптографические ключи которых могли позволить злоумышленникам подделывать сертификаты легитимных сайтов. Защита уже работает в Safari, Mail и приложениях, использующих системные сетевые механизмы Apple. Однако некоторые инструменты командной строки в macOS пока могут продолжать принимать уязвимые сертификаты. Для полного устранения проблемы компания готовит дополнительное обновление системы.

Как сообщает MacRumors со ссылкой на документацию Apple, автоматическая блокировка действует с 19 октября 2026 года. При этом пользователям не нужно устанавливать отдельное обновление для получения основной защиты.

Как возникла уязвимость сертификатов

Проблема затронула восемь промежуточных центров сертификации eMudhra. Их закрытые криптографические ключи оказались недостаточно случайными и могли быть восстановлены практически мгновенно. Это создавало возможность выпускать поддельные TLS-сертификаты, которые уязвимое программное обеспечение могло бы считать подлинными.

Такие сертификаты используются для подтверждения подлинности сайтов и установления защищенных HTTPS-соединений. Если программа доверяет поддельному сертификату, злоумышленник потенциально может выдать себя за настоящий сайт и попытаться перехватить конфиденциальные данные пользователя.

По данным BleepingComputer, исследователь обнаружил проблему 17 октября 2026 года. Слабые ключи были связаны с ошибкой в процедуре их генерации. В eMudhra признали ответственность за произошедшее и сообщили, что отозвали затронутые промежуточные сертификаты.

При этом подтвержденных случаев злонамеренного использования уязвимости на момент публикации не выявлено. Компания также заявила, что не обнаружила признаков компрометации своей инфраструктуры или утечки данных клиентов.

Какие устройства Apple уже защищены

Apple распространяет изменения через автоматическое обновление конфигурации доверенных сертификатов. Поэтому для большинства пользователей iPhone, iPad и Mac дополнительная установка программного обеспечения не требуется.

Блокировка распространяется на следующие компоненты:

• Safari и другие приложения, использующие системные механизмы проверки сертификатов Apple;
• Mail и связанные с ним сетевые соединения;
• программы, которые используют системные сетевые и защитные фреймворки Apple.

Аналогичные меры приняли другие разработчики браузеров и операционных систем. Google сообщила о блокировке затронутых сертификатов в Chrome и распространении соответствующей защиты на Android, а Mozilla обновила механизмы доверия Firefox. Это означает, что проблема затронула не только экосистему Apple.

Почему некоторые инструменты macOS остаются уязвимыми

Отдельная проблема касается инструментов командной строки, которые используют собственный системный файл со списком доверенных корневых сертификатов — /etc/ssl/cert.pem. Среди них могут быть curl, git, Python, Ruby, Perl и OpenSSL, входящие в состав macOS или устанавливаемые вместе с инструментами разработчика Xcode.

Некоторые из этих инструментов проверяют сертификаты по указанному файлу и не учитывают блокировку, уже применяемую системными механизмами Apple. Поэтому они могут продолжать доверять определенным сертификатам, пока соответствующие изменения не появятся в файле.

Apple подтвердила, что готовит исправление для macOS. Оно должно обновить механизм проверки сертификатов и устранить оставшийся пробел в защите. Точную дату выпуска компания пока не назвала.

До появления обновления Apple предусмотрела возможность вручную удалить из файла корневые сертификаты, через которые выстраивается цепочка доверия к скомпрометированным сертификатам. Однако это решение предназначено прежде всего для системных администраторов и разработчиков, понимающих последствия таких изменений.

Самостоятельное редактирование /etc/ssl/cert.pem может привести к тому, что некоторые инструменты перестанут проверять отдельные легитимные сайты. Кроме того, обновление macOS способно перезаписать измененный файл. Поэтому обычным пользователям не следует выполнять эти действия без необходимости.

Что делать владельцам iPhone и Mac

Для большинства пользователей в Украине ситуация не требует срочных действий: основная защита устройств Apple уже распространяется автоматически. Достаточно устанавливать официальные обновления системы и приложений по мере их выхода.

Дополнительное внимание стоит уделить тем, кто использует Mac для разработки программного обеспечения, администрирования серверов или автоматизации сетевых операций. В таких сценариях важно учитывать, что разные приложения могут применять разные хранилища сертификатов и не всегда наследуют системные ограничения Apple.

Инцидент также показывает, что безопасность HTTPS зависит не только от шифрования соединения, но и от надежности центров сертификации, которым доверяют операционные системы и браузеры. Даже при отсутствии подтвержденных атак слабые ключи способны создать серьезный риск, если программное обеспечение продолжает принимать выпущенные на их основе сертификаты.

Apple уже закрыла основную часть проблемы для своих устройств, но окончательное устранение уязвимости в отдельных инструментах macOS ожидается с будущим обновлением. До его выхода системным администраторам следует проверить используемые средства работы с сертификатами и не считать автоматическую блокировку Apple универсальной защитой для всех программ.

Теги:

Источник