El git de Apple sigue confiando en los certificados comprometidos de eMudhra y macOS 27.2 deshace el parche manual
Ten days later, Git on macOS still trusts the compromised eMudhra certificates
Diez días después de que Apple fuera notificada del incidente de eMudhra, las herramientas de desarrollo que incluye macOS —git, curl y python3— siguen aceptando los certificados comprometidos. La actualización macOS 27.2, lejos de corregirlo, revirtió el workaround que los usuarios habían aplicado a mano. Mientras tanto, decenas de proyectos de la comunidad ya publicaron sus parches. Cualquiera en la red puede interceptar conexiones HTTPS y, en el caso de git, inyectar código o robar tokens de GitHub. Apple ya protegió Safari, pero no a los desarrolladores.
Cualquiera puede interceptar cualquier conexión HTTPS que hagan estas herramientas. En git, eso significa que los clones y pulls desde remotos https:// pueden entregar código elegido por el atacante, los pushes pueden alterarse en tránsito y tus credenciales, como los tokens de GitHub, pueden ser interceptadas.
- chrisweekly
Claro, así que no es solo git, es un montón de utilidades proporcionadas por el sistema; macOS confía en certificados malos, y estas utilidades que confían en el SO se ven afectadas. Yo uso homebrew para mi git y curl, pero todavía no he comprobado si eso importa aquí.
Es bastante indignante que la recomendación de Apple sea editar la cadena de certificados manualmente, y esperar que las actualizaciones posteriores del SO puedan revertir tu mitigación, reintroduciendo la vulnerabilidad (como ha ocurrido al menos una vez hasta ahora).
- jrochkind1
Que macOS no haya eliminado de /etc/ssl a nivel de SO parece un asunto grave, que afecta a más que solo el git que viene con el SO. ¿Acaso /etc/certs no lo usa la mayoría del software gráfico de Mac, supongo? El estado caótico de la gestión de certificados a nivel de SO, también en Linux, es bastante desalentador.
Si Apple sigue intentando venderse como puntera en seguridad, uno pensaría que eliminar los certificados de CA revocados de /etc en una actualización del sistema sería algo bastante fácil de hacer, ¿no?
- truelson
Esto es lo que Apple (ellos mismos) recomienda para parchear: https://support.apple.com/en-us/149555
Prácticamente todo desarrollador en Mac debería aplicar su parche.
- qaz_plm
La declaración de Apple: https://support.apple.com/en-us/149555
- kryptiskt
No lo digo con sarcasmo cuando digo que Apple debería copiar Windows Update; no tengo ni idea de cómo han llegado tan lejos sin un método para añadir pequeños parches fuera de las actualizaciones monolíticas del SO.
- faxmeyourcode
Aunque no hay prueba de que nadie supiera de estas claves débiles durante el año y medio en que fueron confiadas por prácticamente todo el mundo, y no hay evidencia de ataques MITM ocurriendo en la naturaleza por ello, uno puede imaginar el beneficio que obtendría una agencia de tres letras si, aunque fuera por 10 días, hubiera una oportunidad de recolectar credenciales de gente importante en altos cargos.
No tengo evidencia ni pruebas, pero estoy convencido de que este desastre de generación de claves wrap/unwrap fue intencional y que las agencias o gobiernos descubrieron las claves débiles y las mantuvieron en secreto y las usaron para explotar a sus adversarios.
No necesitas realizar un ataque MITM tradicional _si controlas el aeropuerto_ o _controlas el wifi público gratuito_. El tráfico puede recolectarse en texto claro y tenemos que aceptar la _posibilidad remota_ de que esto haya estado ocurriendo durante más de un año y medio. Si no tanto tiempo, entonces ciertamente durante los últimos 10 días.
- commandlinefan
Parece que todos simplemente... ¿hemos renunciado a la revocación de certificados? Las CRL y OCSP se diseñaron exactamente para este tipo de cosas, pero ambas parecen haber sido abandonadas por inviables sin ningún reemplazo.
- gringofyx
Un archivo plano cert.pem (o similar) no puede decir "desconfía de este intermedio".
macOS ya tiene el verificador necesario (la ruta Security.framework/trustd que protegía a Safari). Sería bueno que macOS enrutara las CLI a través de él.
- kd913
¿Acaban de lanzar macOS 27.2 hace unos días? ¿Cómo y por qué no hicieron un parche al menos entonces?
- mFixman
Pregunta para quienes saben de esto: ¿por qué tenemos cientos de autoridades de certificación raíz, cuando una vulnerabilidad en una sola puede romper el cifrado?
¿No tendría más sentido tener unas 5 que puedan monitorearse más de cerca, para que algo como los certificados de eMudhra probablemente se descubriera antes de que se desplegaran los certificados?