Amaya Tomanová Apple zablokoval problematické webové certifikáty, které mohly útočníkům umožnit vydávat se za legitimní stránky. Ochrana funguje od 19. října v Safari, Mailu a aplikacích využívajících síťové a bezpečnostní rozhraní Applu, přičemž nevyžaduje instalaci aktualizace. Většina uživatelů tedy nemusí nic řešit. Jedna výjimka však zůstává: některé nástroje ovládané přes příkazový řádek v macOS mohou dotčeným certifikátům nadále důvěřovat.
Mohlo by vás zajímat
Jana Skálová Celý problém začal odhalením ze strany bezpečnostního výzkumného experta, který u osmi certifikátů zprostředkujících certifikačních autorit indické společnosti eMudhra zjistil slabé soukromé kryptografické klíče. Právě ty přitom patří k základům důvěryhodného připojení k webu. Pokud je útočník dokáže zneužít, může narušit ověřování identity stránky a vydávat podvržený web za skutečný.
Pro běžného uživatele je podstatné hlavně to, že ani zabezpečené spojení nemůže správně plnit svůj účel, pokud selže důvěra v certifikáty. Člověk by tak mohl zadávat citlivé údaje v přesvědčení, že komunikuje se správným webem. V tomto případě ale zatím nejsou důkazy, že by někdo problematické klíče skutečně zneužil. Jde tedy o odstranění závažného rizika, nikoliv o potvrzený únik uživatelských dat.
Fotogalerie
Safari už ochranu má, Terminál si zaslouží pozornost
Certifikátům eMudhry původně důvěřovaly všechny hlavní prohlížeče včetně Safari, Chromu, Edge a Firefoxu. Nešlo proto o chybu omezenou na ekosystém Applu. Kroky k ochraně uživatelů už podnikly také společnosti stojící za ostatními prohlížeči.
Apple ve svém podpůrném dokumentu uvádí, že blokování dotčených TLS certifikátů zavedl automaticky. Kvůli této konkrétní ochraně tak není potřeba hledat novou verzi systému ani měnit nastavení Safari. Zásah navíc pokrývá i další aplikace, pokud využívají příslušná systémová rozhraní.
U některých nástrojů příkazového řádku je ale situace jiná. Ty mohou používat soubor s důvěryhodnými certifikáty, který dosavadní zásah nepokrývá. Rozdíl může být důležitý například pro správce, kteří z Terminálu spouštějí automatizované úlohy nebo skripty komunikující se servery. To, že Safari problematickému certifikátu už nevěří, totiž automaticky neznamená, že jej odmítne každý nástroj na stejném Macu.
Apple proto připravuje aktualizaci macOS, která potřebné změny provede také v souboru /etc/ssl/cert.pem. Termín vydání zatím neoznámil. Do té doby jako dočasné řešení pro uživatele dotčených nástrojů uvádí odstranění příslušných kořenových certifikátů z tohoto souboru. Pro běžné používání Safari a Mailu však takový ruční zásah není potřeba.
Adam Kos 
Vratislav Holub 
Pavel Jelič 
