eMudhraの中間CAが侵害、Appleは任意のサイトになりすませる証明書を遮断
About the compromised eMudhra intermediate CAs
eMudhraが運用する中間CA8基の秘密鍵が漏洩し、うちTLS証明書を発行する6基の鍵を使えば任意のウェブサイトに有効に見える証明書を作成できてしまう。Appleは2026年10月19日から該当する12枚の証明書を自動でブロックし、23日にはemSign ECC Root CA - G3も遮断。SafariやMailは自動対応済みだが、curlやgitなど/etc/ssl/cert.pemを参照するコマンドラインツールは将来のアップデートまで受け入れてしまうため、管理者向けにルートCA削除の手順を示している。
これらの6つのCAの鍵を持つ者は、あらゆるウェブサイトに対して有効に見える証明書を作成できる。
HNでの議論
71- magnio
Macでは、macOSやXcode Command Line Toolsに含まれる一部のコマンドラインツール（curl、git、python3、ruby、perl、opensslなど）が、証明書を/etc/ssl/cert.pemに対して検証している。このファイル内のルートCA証明書に連鎖する証明書については、これらのツールはAppleのブロックリストや証明書が失効しているかどうかをチェックしない。このファイルは将来のmacOSアップデートで更新される予定だ。これらのツールを使っていてアップデートを待ちたくないなら、ファイルからルートCA証明書を削除すればよい。
なんてカオスなんだ
- mattstir
この奇妙な反セキュリティ的な対応を支持する人々がいるのを見るのは驚きだ。セキュリティ問題の修正を先延ばしにしているだけでなく、新しいアップデートのたびに手動の修正を黙って巻き戻している。それは何もしないより明らかに悪い！しかも、「将来を少し楽にしたいからこの重大なセキュリティ問題の修正は待とう」というアプローチを人々が唱えるのを見るのも不安になる。まるでAppleが通常のパッチリリースの一環としてファイルから約12行を削除することすらできないかのように。手動の修正を巻き戻せるのなら、明らかにそのファイルを配布しているのだから、そのファイルと一緒に修正を配布することもできたはずだ。これを支持するのは本当に不気味だ。
- gwbas1c
Appleが修正を出すのにどうしてこんなに時間がかかっているのか、本当に知りたい。特に、既存のコンピュータをどう更新するかを説明できるなら、一体何が滞りの原因なのか？リリースプロセスなのか？あまり理解されていない根底の複雑さがあるのか？
- pluc
関連：10日経っても、macOS上のGitは侵害されたeMudhra証明書を依然として信頼している https://news.ycombinator.com/item?id=50271640
- lazzurs
これは弱すぎる。私はiPhoneを捨ててGrapheneOSに、Apple Watchを捨ててPebbleに乗り換えたところだ。Linuxを載せたFrameworkのようなものが答えだと、ますます確信しつつある。