Утечка ключей eMudhra позволяет подделать сертификат любого сайта
About the compromised eMudhra intermediate CAs
Apple с 19 октября 2026 года блокирует 12 промежуточных сертификатов eMudhra, выпускающих TLS-сертификаты: приватные ключи восьми промежуточных CA оказались скомпрометированы. Шесть из них могли использоваться для создания сертификатов, выглядящих действительными для любого сайта. Блокировка приходит автоматически, без обновления системы, но curl, git и другие утилиты в Terminal проверяют сертификаты по /etc/ssl/cert.pem и пока принимают их — администраторам предлагают вручную удалить корневые CA из этого файла.
Обладатель ключей от этих шести CA мог бы создавать сертификаты, которые выглядят действительными для любого сайта.
- magnio
На Mac некоторые инструменты командной строки, входящие в состав macOS или Xcode Command Line Tools (включая curl, git, python3, ruby, perl и openssl), проверяют сертификаты по файлу /etc/ssl/cert.pem. Для сертификатов, цепочка которых ведёт к корневому CA-сертификату в этом файле, эти инструменты не проверяют блок-лист Apple и не проверяют, был ли сертификат отозван. Этот файл будет обновлён в будущем обновлении macOS. Если вы пользуетесь этими инструментами и не хотите ждать обновления, вы можете удалить корневые CA-сертификаты из файла.
Вот это бардак
- mattstir
Дико видеть, как люди поддерживают этот странный анти-безопасностный ответ. Мало того, что они тянут с исправлением проблемы безопасности, так они ещё и молча откатывают любые ручные исправления с каждым новым обновлением. Это, честно говоря, хуже, чем вообще ничего не делать! Ещё и тревожно видеть, как люди продвигают подход «давайте подождём исправлять эту критическую уязвимость, потому что хотим немного упростить себе жизнь в будущем», будто Apple не в состоянии удалить ~12 строк из файла в рамках обычного патч-релиза? Если они могут откатывать ваши ручные исправления, то они очевидно поставляют этот файл, а значит могли бы поставить исправление вместе с этим файлом. Искренне тревожно поддерживать что-либо из этого.
- gwbas1c
Мне бы очень хотелось знать, почему Apple так долго выпускает исправление. Особенно если они могут объяснить, как обновить уже существующий компьютер — в чём вообще загвоздка? Это их процесс релиза? Есть какая-то глубинная сложность, которую плохо понимают?
- pluc
По теме: десять дней спустя Git на macOS по-прежнему доверяет скомпрометированным сертификатам eMudhra https://news.ycombinator.com/item?id=50271640
- lazzurs
Это какая-то слабая отмазка. Я только что отказался от iPhone в пользу GrapheneOS, а от Apple Watch — в пользу Pebble. Всё больше убеждаюсь, что что-то вроде Framework с Linux — это ответ.