Amaya Tomanová První vývojářská beta macOS 27.3 obsahuje bezpečnostní opravu, která doplňuje ochranu před kompromitovanými webovými certifikáty společnosti eMudhra. Tentokrát se týká nástrojů příkazového řádku, které mohou využívat jiný seznam důvěryhodných certifikátů než běžné aplikace. Pro většinu uživatelů je přitom podstatná jiná informace: Safari, Mail a další aplikace využívající síťové a bezpečnostní frameworky Applu už problematické certifikáty blokují.
Mohlo by vás zajímat
Letem světem Applem Apple tuto ochranu aktivoval 19. října napříč svými softwarovými platformami. Blokování proběhlo automaticky a nevyžadovalo instalaci nové verze systému. Pokud tedy Mac používáte především k procházení webu v Safari nebo práci s poštou v Mailu, kvůli této konkrétní hrozbě nemusíte instalovat vývojářskou betu.
Proč nestačilo zablokování v Safari
Nová oprava odstraňuje dotčené certifikáty ze souboru /etc/ssl/cert.pem. Ten slouží jako zdroj důvěryhodných certifikátů pro některé nástroje příkazového řádku. Právě zde dosavadní ochrana běžných aplikací nestačila: nástroj používající tento soubor mohl certifikát nadále přijmout, přestože Safari už mu nedůvěřovalo.
Rozdíl může být důležitý například při stahování dat nebo komunikaci se servery prostřednictvím skriptů. Samotné zablokování certifikátu v prohlížeči totiž ještě neznamená, že se stejným seznamem důvěryhodných autorit pracují všechny programy v počítači. macOS 27.3 tuto zbývající cestu uzavírá úpravou příslušného souboru.
Veřejné vydání macOS 27.3 se očekává až v prosinci. Stejná oprava by však podle dostupných informací mohla dorazit dříve v aktualizaci macOS 27.2.1. Její vydání ani obsah zatím nejsou potvrzené. Apple zároveň zveřejnil postup pro ruční odstranění dotčených certifikátů, určený těm, kteří potřebují problém vyřešit bez čekání na aktualizaci.
Fotogalerie
Co se u eMudhra stalo
Za celou záležitostí stojí říjnový nález bezpečnostního experta. Ten odhalil slabé soukromé kryptografické klíče spojené s osmi certifikáty zprostředkujících certifikačních autorit indické společnosti eMudhra.
Webové certifikáty pomáhají ověřovat, že se zařízení připojuje ke skutečnému webu, za který se server vydává. Kompromitované klíče mohly útočníkům umožnit vydávat se za legitimní stránky a potenciálně ohrozit citlivé údaje uživatelů. Dosud se však neobjevily důkazy, že by je někdo skutečně zneužil k útoku.
Oprava v macOS 27.3 tak doplňuje již zavedené blokování o další část systému. Pozornost si zaslouží zejména u lidí, kteří na Macu používají síťové nástroje v Terminálu nebo automatizované skripty. U Safari a dalších aplikací využívajících ochranu Applu už bylo blokování těchto certifikátů vyřešeno bez nutnosti zásahu uživatele.
Adam Kos 
Pavel Jelič 
