eMudhra 证书泄露，Apple 紧急封禁
About the compromised eMudhra intermediate CAs
自 2026 年 10 月 19 日起，Apple 开始全面封禁 eMudhra 已泄露的中间 CA 证书，以防止潜在的安全威胁。此次事件涉及 eMudhra 运营的八个中间 CA 的私钥泄露，其中六个用于签发 TLS 证书。对于普通用户，Safari、Mail 等应用已自动拦截这些证书，无需任何操作。但使用 Terminal 的系统管理员或开发者需注意，curl、git 等命令行工具在 macOS 更新前仍可能信任这些证书。Apple 建议相关用户手动从 /etc/ssl/cert.pem 中移除 emSign ECC Root CA - G3 和 AAA Certificate Services 根证书，或等待未来的系统更新自动修复。
拥有这些中间 CA 密钥的人可以为任何网站创建看似有效的证书。
HN 评论区
70- magnio
> 在 Mac 上，macOS 或 Xcode 命令行工具附带的一些命令行工具（包括 curl、git、python3、ruby、perl 和 openssl）会将证书与 /etc/ssl/cert.pem 进行比对。对于在该文件中链接到根 CA 证书的证书，这些工具不会检查 Apple 的封禁列表，也不会检查证书是否已被撤销。该文件将在未来的 macOS 更新中更新。如果你使用这些工具且不想等待更新，可以从该文件中删除根 CA 证书。
真是个烂摊子
- mattstir
看到有人支持这种 bizarre 的反安全响应，实在令人咋舌。他们不仅拖延修复安全问题，还在每次新更新中静默地回滚任何手动修复。这简直比什么都不做还要糟糕！更令人不安的是，竟然有人鼓吹“让我们先别修复这个关键安全问题，因为这样未来会稍微方便一点”的做法，仿佛 Apple 无法在常规补丁发布时删除文件中的 ~12 行代码一样？如果他们能回滚你的手动修复，显然他们本身就打包了这个文件，那完全可以在发布该文件时一并推送修复补丁。支持这些说法的行为，真的令人毛骨悚然。
- gwbas1c
我真的很想知道，Apple 为什么花了这么长时间才推送修复补丁。尤其是如果他们能解释如何更新现有电脑，那么普遍的拖延原因是什么？是他们的发布流程问题吗？还是存在某些未被充分理解的底层复杂性？
- pluc
相关：十天过去了，macOS 上的 Git 仍然信任被攻破的 eMudhra 证书 https://news.ycombinator.com/item?id=50271640
- rethab
那条 AWK 命令写得真不错。对于那些除了 AWK 还有其他爱好的朋友，这里解释一下它的功能：
- 将变量 s 设置为该字符串：-v s='=== /C=IN/OU=emSign PKI/O=eMudhra Technologies Limited/CN=emSign ECC Root CA - G3'
- 对于匹配 // 之间正则表达式的行，将 skip 设为 false：/^(===|###) /{skip=0}
- 对于匹配 s 的行，将 skip 设为 true：$0==s{skip=1}
- 如果 skip 为 false，则打印该行：!skip
注意最后一部分，它只写了 !skip 而没有花括号。在这种情况下，AWK 默认执行 print 操作。