Το χρονικό της παραβίασης και η αντίδραση της Apple

Η πρόσφατη compromisation των ιδιωτικών κλειδιών οκτώ ενδιάμεσων CAs της eMudhra συνιστά σοβαρό περιστατικό ασφαλείας στην υποδομή δημοσίου κλειδιού (PKI). Από τα εν λόγω authorities, τα έξι εξέδιδαν TLS certificates, δίνοντας θεωρητικά σε έναν κακόβουλο παράγοντα τη δυνατότητα έκδοσηςπλαστών αλλά έγκυρων πιστοποιητικών για οποιονδήποτε ιστότοπο στο διαδίκτυο.

Η Apple αντέδρασε άμεσα, ενσωματώνοντας αυτόματους μηχανισμούς αποκλεισμού στα λειτουργικά της συστήματα. Χρησιμοποιώντας δυναμικές ενημερώσεις διαμόρφωσης που αποστέλλονται παρασκηνιακά, τα επηρεαζόμενα certificates (συμπεριλαμβανομένου του emSign ECC Root CA - G3) αποκλείονται αυτόματα σε επίπεδο εφαρμογών πελάτη (Safari, Mail) χωρίς να απαιτείται αναβάθμιση ολόκληρου του λειτουργικού.

Η ιδιαιτερότητα των command-line εργαλείων και το /etc/ssl/cert.pem

Παρά την αυτοματοποίηση των κb frameworks, τα εργαλεία γραμμής εντολών (command-line tools) που συνοδεύουν το macOS ή τα Xcode Command Line Tools —όπως τα curl, git, python3, ruby, perl και openssl— ακολουθούν διαφορετική αρχιτεκτονική διαδρομή.

Τα συγκεκριμένα εργαλεία εγκurυνει τα πιστοποιητικά τους απευθείας έναντι του αρχείου αποθήκευσης εμπιστοσύνης /etc/ssl/cert.pem. Κατά συνέπεια, παρακάμπτουν τους ελέγχους ανάκλησης της Apple και εξακολουθούν να εμπιστεύονται τα αλυσίδες πιστοποίησης των παραβιασμένων CAs, έως ότου η εταιρεία διαθέσει το σχετικό software update.

Οδηγίες άμεσης θωράκισης για διαχειριστές και developers

Για όσους μηχανικούς και system administrators δεν επιθυμούν να αναμένουν την επίσημη ενημέρωση, η Apple τεκμηριώνει μια διαδικασία άμεσης επέμβασης μέσω Terminal. Η διαδικασία περιλαμβάνει τη δημιουργία αντιγράφου ασφαλείας (backup) του αρχείου εμπιστοσύνης και τη χρήση βοηθητικών προγραμμάτων όπως η awk για την αφαίρεση των προβληματικών root certificates (emSign ECC Root CA - G3 και, προαιρετικά, του cross-signed AAA Certificate Services).

  • Δημιουργία backup: [ -e /etc/ssl/cert.pem.orig ] || sudo cp -p /etc/ssl/cert.pem /etc/ssl/cert.pem.orig
  • Επαλήθευση ακεραιότητας: Η χρήση εντολών openssl (openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem) επιτρέπει την επιβεβαίωση ότι τα κ κλειδιά έχουν αφαιρεθεί επιτυχώς από το τοπικό trust store.