macOS 27.3 содержит важное исправление безопасности
- Бета macOS 27.3 для разработчиков удаляет скомпрометированные сертификаты eMudhra из файла /etc/ssl/cert.pem.
- Обновление macOS 27.2.1, вероятно, выйдет раньше публичной macOS 27.3, ожидаемой не раньше декабря, и включит то же исправление.
- С 19 октября Apple блокирует сертификаты в Safari, «Почте» и других приложениях; пользователям командной строки нужно обновиться или удалить их вручную.
Почему это важно: Скомпрометированные ключи могли позволить злоумышленникам выдавать себя за легитимные сайты и подвергнуть риску конфиденциальные данные пользователей.
Первая бета-версия macOS 27.3 для разработчиков включает важное исправление безопасности, которое не позволяет инструментам командной строки принимать скомпрометированные веб-сертификаты eMudhra. В частности, обновление удаляет затронутые сертификаты из файла /etc/ssl/cert.pem.
Публичный релиз macOS 27.3 ожидается не раньше декабря, однако обновление macOS 27.2.1, скорее всего, выйдет раньше и будет содержать то же исправление безопасности.
Если вы не хотите обновлять Mac прямо сейчас, вы можете вручную удалить затронутые сертификаты из файла /etc/ssl/cert.pem на своём компьютере, следуя инструкциям из соответствующего документа службы поддержки Apple.
Если вы не пользуетесь инструментами командной строки через «Терминал» или аналогичные приложения, вы уже полностью защищены. По словам Apple, с 19 октября компания блокирует скомпрометированные TLS-сертификаты eMudhra в Safari, «Почте» и других приложениях, использующих сетевые фреймворки и фреймворки безопасности Apple, на всех своих программных платформах. Сертификаты блокируются автоматически, без необходимости обновлять ПО, поэтому большинству пользователей не нужно ничего предпринимать.
Всё это последовало за тем, как в прошлом месяце исследователь в области безопасности обнаружил, что закрытые криптографические ключи, связанные с восемью сертификатами промежуточных удостоверяющих центров (CA) индийской компании eMudhra, были ненадёжными. Скомпрометированные ключи могли позволить злоумышленникам выдавать себя за легитимные сайты, что потенциально ставило под угрозу конфиденциальные данные пользователей. Пока что никаких свидетельств того, что ключи использовались во вредоносных целях, не появилось.
