Apple blockiert kompromittierte eMudhra-Zertifikate, doch Terminal-Tools bleiben anfällig
About the compromised eMudhra intermediate CAs
Die privaten Schlüssel von acht eMudhra-Intermediate-CAs wurden kompromittiert – sechs davon stellen TLS-Zertifikate aus. Apple blockiert seit dem 19. Oktober 2026 die zwölf betroffenen Zertifikate automatisch in Safari, Mail und allen Apps, die Apples Netzwerk-Frameworks nutzen. Kommandozeilen-Tools wie curl, git oder python3 prüfen jedoch weiterhin gegen /etc/ssl/cert.pem und akzeptieren die Zertifikate bis zu einem künftigen Update. Administratoren können die Root-CAs vorab manuell entfernen.
Jemand mit den Schlüsseln dieser sechs CAs könnte Zertifikate erstellen, die für jede Website gültig erscheinen.
- magnio
Auf dem Mac prüfen einige mit macOS oder den Xcode Command Line Tools mitgelieferte Kommandozeilen-Tools (darunter curl, git, python3, ruby, perl und openssl) Zertifikate gegen /etc/ssl/cert.pem. Bei Zertifikaten, die auf ein Root-CA-Zertifikat in dieser Datei zurückführen, prüfen diese Tools weder Apples Blockliste noch, ob das Zertifikat widerrufen wurde. Diese Datei wird in einem zukünftigen macOS-Update aktualisiert. Wenn du diese Tools verwendest und nicht auf das Update warten willst, kannst du Root-CA-Zertifikate aus der Datei entfernen.
Was für ein Clusterfuck
- mattstir
Es ist schon irre, Leute zu sehen, die diese bizarre Anti-Sicherheits-Reaktion unterstützen. Sie trödeln nicht nur bei der Behebung des Sicherheitsproblems, sie machen bei jedem neuen Update auch noch still und heimlich alle manuellen Fixes rückgängig. Das ist wirklich schlimmer, als gar nichts zu tun! Es ist auch beunruhigend zu sehen, wie Leute für den Ansatz eintreten: „Lass uns mit dem Beheben dieses kritischen Sicherheitsproblems warten, weil wir es uns in Zukunft etwas einfacher machen wollen“ – als ob Apple nicht in der Lage wäre, im Rahmen eines normalen Patch-Releases mal eben ~12 Zeilen aus einer Datei zu löschen? Wenn sie deine manuellen Fixes rückgängig machen können, dann liefern sie diese Datei offensichtlich aus, und dann hätten sie auch einen Fix mit dieser Datei ausliefern können. Es ist wirklich verstörend, irgendetwas davon zu unterstützen.
- gwbas1c
Ich würde wirklich gern wissen, warum Apple so lange braucht, um einen Fix auszuliefern. Besonders wenn sie erklären können, wie man einen bestehenden Rechner aktualisiert – was ist da die allgemeine Verzögerung? Ist es ihr Release-Prozess? Gibt es irgendeine zugrunde liegende Komplexität, die schlecht verstanden wird?
- pluc
Verwandt: Zehn Tage später vertraut Git unter macOS immer noch den kompromittierten eMudhra-Zertifikaten https://news.ycombinator.com/item?id=50271640
- lazzurs
Das ist echt schwache Leistung. Ich habe gerade das iPhone gegen GrapheneOS und die Apple Watch gegen Pebble eingetauscht. Ich bin immer mehr überzeugt, dass so etwas wie ein Framework mit Linux die Antwort ist.