Ранее в этом месяце исследователь в области безопасности обнаружил, что закрытые криптографические ключи, связанные с восемью сертификатами промежуточных удостоверяющих центров (CA) индийской компании eMudhra, оказались слабыми. Скомпрометированные ключи могли позволить злоумышленникам выдавать себя за легитимные веб-сайты, что потенциально ставило под угрозу конфиденциальные данные пользователей. Однако на данный момент нет свидетельств того, что ключи использовались во вредоносных целях.

Сертификатам eMudhra доверяли все основные веб-браузеры, включая Safari, Chrome, Edge и Firefox, однако Apple и другие компании, стоящие за этими браузерами, с тех пор приняли меры для защиты пользователей.

В документе поддержки Apple сообщила, что с 19 октября блокирует скомпрометированные веб-сертификаты TLS компании eMudhra в Safari, «Почте» и приложениях, использующих сетевые фреймворки и фреймворки безопасности Apple. Сертификаты блокируются автоматически, без необходимости обновления ПО, поэтому большинству владельцев устройств Apple не нужно ничего предпринимать.

Есть одно исключение. По словам Apple, тем, кто пользуется инструментами командной строки macOS, например системным администраторам, следует учитывать, что некоторые из этих инструментов всё ещё могут принимать скомпрометированные сертификаты до тех пор, пока Apple не выпустит обновление macOS с исправлением. Тем временем, как отметила Apple, пользователи инструментов командной строки могут удалить корневые сертификаты CA из файла /etc/ssl/cert.pem — подробности изложены в документе поддержки.

Apple не назвала дату выхода обновления macOS, которое по умолчанию внесёт необходимые изменения в файл /etc/ssl/cert.pem.

Более подробные технические сведения приведены в документе поддержки Apple.