Apple bloquea los certificados de las CAs intermedias comprometidas de eMudhra
About the compromised eMudhra intermediate CAs
Las claves privadas de ocho CAs intermedias de eMudhra fueron comprometidas. Seis emiten certificados TLS, por lo que cualquiera con esas claves podría crear certificados válidos para cualquier sitio web. Apple bloquea los 12 certificados afectados desde el 19 de octubre de 2026 y, desde el 23 de octubre, también el emSign ECC Root CA - G3. Safari, Mail y las apps quedan protegidos automáticamente; las herramientas de Terminal como curl o git seguirán aceptándolos hasta una futura actualización.
Alguien con las claves de estas seis CAs podría crear certificados que parezcan válidos para cualquier sitio web.
- magnio
> En Mac, algunas herramientas de línea de comandos incluidas con macOS o con las Xcode Command Line Tools (incluyendo curl, git, python3, ruby, perl y openssl) comprueban los certificados contra /etc/ssl/cert.pem. Para los certificados que encadenan con un certificado de CA raíz en este archivo, estas herramientas no comprueban el bloqueo de Apple ni si el certificado ha sido revocado. Este archivo se actualizará en una futura actualización de macOS. Si usas estas herramientas y no quieres esperar a la actualización, puedes eliminar los certificados de CA raíz del archivo.
Qué desastre
- mattstir
Es una locura ver a gente apoyando esta extraña respuesta antisécurity. No solo están arrastrando los pies a la hora de arreglar el problema de seguridad, sino que además están revirtiendo activamente cualquier arreglo manual de forma silenciosa con cada nueva actualización. ¡Eso es legítimamente peor que no hacer nada en absoluto! También es desconcertante ver a gente abogar por el enfoque de "esperemos a arreglar este problema de seguridad crítico porque queremos que sea un poco más fácil en el futuro", como si Apple fuera incapaz de borrar ~12 líneas de un archivo como parte del lanzamiento normal de un parche. Si pueden revertir tus arreglos manuales, obviamente distribuyen ese archivo y, por tanto, podrían haber distribuido un arreglo con ese archivo. Es genuinamente inquietante apoyar algo de esto.
- gwbas1c
Realmente me gustaría saber por qué Apple está tardando tanto en lanzar un arreglo. Especialmente si pueden explicar cómo actualizar un ordenador existente, ¿cuál es el retraso general? ¿Es su proceso de lanzamiento? ¿Hay alguna complejidad subyacente que se entiende mal?
- pluc
Relacionado: Diez días después, Git en macOS sigue confiando en los certificados comprometidos de eMudhra https://news.ycombinator.com/item?id=50271640
- lazzurs
Esto es una birria. Acabo de dejar el iPhone por GrapheneOS y el Apple Watch por Pebble. Cada vez estoy más convencido de que algo como un Framework con Linux es la respuesta.