Apple, 10일이 지나도 macOS의 git에서 침해된 eMudhra 인증서를 여전히 신뢰
Ten days later, Git on macOS still trusts the compromised eMudhra certificates
Apple은 10월 17일 eMudhra 사고를 통보받았지만, 28일 현재까지 macOS에 포함된 git, curl, python3 등 개발 도구가 침해된 인증서를 그대로 신뢰하고 있다. 게다가 10월 26일 배포된 macOS 27.2는 이 문제를 고치지 않았을 뿐 아니라 사용자가 직접 적용한 우회 조치까지 되돌려 다시 취약하게 만들었다. 그동안 수십 개의 다른 프로젝트는 며칠 만에 수정본을 내놓았다. 이 취약점이 악용되면 git clone과 pull로 공격자가 고른 코드가 전달되고, push가 변조되며, GitHub 토큰 같은 자격 증명까지 가로채일 수 있다.
더 심각한 것은, 10월 26일 배포된 macOS 27.2가 이 문제를 고치지 않았을 뿐 아니라 사용자가 직접 적용한 우회 조치까지 되돌려 다시 취약하게 만들었다는 점이다.
HN 토론
342- chrisweekly
그렇지, 그래서 문제는 git만이 아니라 시스템이 제공하는 여러 유틸리티에 해당돼. macOS가 잘못된 인증서를 신뢰하고, OS를 신뢰하는 이 유틸리티들이 영향을 받는 거지. 나는 git과 curl에 homebrew를 쓰는데, 이게 여기서 문제가 되는지는 아직 확인하지 못했어.
Apple의 안내가 인증서 체인을 수동으로 편집하라는 것도, 그리고 이후 OS 업데이트가 너의 완화 조치를 되돌려서 취약점을 다시 불러올 수 있다고 예상하라는 것도 좀 어이가 없어(지금까지 적어도 한 번은 그렇게 일어났고).
- jrochkind1
MacOS가 OS 수준의 /etc/ssl에서 이를 제거하지 않았다는 건 상당히 큰 문제인 것 같아. OS가 제공하는 git보다 더 많은 것에 영향을 미치니까. 아마 대부분의 GUI Mac 소프트웨어는 /etc/certs를 사용하지 않는 걸까? Linux에서도 마찬가지로 OS 수준 인증서 관리의 혼란스러운 상태는 꽤 낙담스러워.
Apple이 여전히 보안을 앞세우는 브랜드로 자리매김하려 한다면, 시스템 업데이트에서 폐기된 CA 인증서를 /etc에서 제거하는 건 꽤 쉬운 일일 거라고 생각하지 않아?
- truelson
Apple(그들 자신)이 패치하라고 권장하는 내용은 여기 있어: https://support.apple.com/en-us/149555
Mac을 쓰는 거의 모든 개발자는 아마 이 패치를 실행해야 할 것 같아.
- qaz_plm
Apple의 성명: https://support.apple.com/en-us/149555
- faxmeyourcode
이 약한 키들이 1년 반 동안 사실상 모두에게 신뢰받는 동안 누군가가 그것을 알고 있었다는 증거도 없고, 그로 인해 실제 환경에서 MITM 공격이 일어났다는 증거도 없지만, 만약 10일 동안이라도 고위직 중요 인물들의 자격 증명을 수확할 기회가 있었다면 삼자 기관이 얻었을 이득을 상상할 수 있을 거야.
증거나 증명은 없지만, 나는 이 wrap/unwrap 키 생성 사태가 의도적이었고 약한 키가 기관이나 정부에 의해 발견되어 비밀로 유지되며 적대자들을 공격하는 데 사용되었다고 확신해.
_공항을 소유_하거나 _무료 공공 와이파이를 소유_하고 있다면 전통적인 MITM 공격을 수행할 필요가 없어. 트래픽은 평문으로 수확될 수 있고, 우리는 이것이 1년 반 넘게 계속되어 왔을 _원격 가능성_을 받아들여야 해. 그렇게 오래는 아니더라도, 적어도 지난 10일 동안은 확실히 그랬을 거야.
- kryptiskt
빈정대는 게 아니라 진심으로 Apple이 Windows Update를 따라 해야 한다고 말하는 거야. 거대한 OS 업데이트 외에 작은 패치를 추가하는 방법 없이 어떻게 여기까지 왔는지 모르겠어.
- commandlinefan
우리 모두 그냥... 인증서 폐기를 포기한 것 같아? CRL과 OCSP는 바로 이런 상황을 위해 설계되었는데, 둘 다 실행 불가능하다며 대체 없이 버려진 것처럼 보여.
- gringofyx
단순한 cert.pem 파일(또는 비슷한 것)은 "이 중간 인증서를 신뢰하지 마"라고 말할 수 없어.
macOS에는 이미 필요한 검증기(Safari를 보호했던 Security.framework/trustd 경로)가 있어. MacOS가 CLI를 그것을 통해 라우팅하면 좋을 텐데.
- j45
설명 고마워.
모든 측면에서 테스트하고, 탐지하고, 해결책을 실행하는 대화형 스크립트/체크가 이미 내장되어 있지 않다는 건 정말 말도 안 돼.
- kd913
그들이 며칠 전에 MacOS 27.2를 막 출시했잖아? 어떻게 그리고 왜 적어도 그때는 패치를 하지 않은 거지?