Mac komandrindas rīki pēc eMudhra atslēgu noplūdes vēl uzticas bīstamiem sertifikātiem

Apple savā atbalsta lapā brīdinājis, ka Mac datoros daļa iebūvēto komandrindas rīku, tostarp curl, git, python3 un openssl, joprojām var pieņemt sertifikātus, kas saistīti ar kompromitētajām Indijas sertifikācijas iestādes eMudhra starpiestādēm. Safari, Mail un lietotnes, kas izmanto Apple tīkla un drošības ietvarus, šos sertifikātus bloķē jau kopš 19. oktobra, taču pilnīgu labojumu uzņēmums sola tikai nākamajā macOS atjauninājumā, kura datums nav paziņots.

Problēma ir nopietna, jo ar šādām atslēgām var izveidot HTTPS sertifikātu, kas izskatās derīgs jebkurai vietnei. Mozilla drošības blogā skaidro, ka uzbrucējs, kurš spēj pārtvert lietotāja savienojumu, šādi varētu uzdoties par vietni un lasīt vai mainīt datplūsmu.

Par vājajām atslēgām 17. oktobrī ziņoja neatkarīgs drošības pētnieks, vienlaikus informējot Google, Mozilla, Apple un Microsoft sertifikātu programmas. Google norāda, ka astoņu starpsertifikātu privātās atslēgas bija ģenerētas ar nepietiekamu nejaušību. Mozilla inženieri pēc saņemtā ziņojuma atslēgas spēja atjaunot paši, nezinot pētnieka metodi, un secināja, ka kļūdu izmantot ir triviāli. Sešas no astoņām starpiestādēm izsniedz TLS sertifikātus vietnēm, bet divas paredzētas koda parakstīšanai.

eMudhra savā paziņojumā atvainojās un kļūdu skaidroja ar skripta kļūdu atslēgu ģenerēšanā. Uzņēmums visas astoņas starpiestādes atsauca 18. oktobrī un apgalvo, ka septiņas no tām nekad nav lietotas, bet vienīgā darbībā esošā nebija izsniegusi nevienu sertifikātu. Sectigo, kas daļu šo sertifikātu bija šķērsparakstījis, 19. oktobrī atsauca savus šķērssertifikātus un izbeidza sadarbību ar eMudhra šajā jomā.

Pārlūku izstrādātāji reaģēja dažu stundu laikā. Chrome bloķēja skartās atslēgas tajā pašā vakarā, un Google norāda, ka līdz bloķēšanai sertifikātu caurskatāmības žurnālos neparādījās neviens sertifikāts no šīm iestādēm. Firefox lietotājiem aizsardzība tika piegādāta mazāk nekā trīs stundās, un Mozilla izlaida arī labojuma versiju Firefox 158.0.1.

Mac lietotājiem, kuri nestrādā ar termināli, nekas nav jādara, uzsver Apple. Izstrādātāji un administratori līdz atjauninājumam var paši izņemt divus saknes sertifikātus no faila /etc/ssl/cert.pem, taču Apple brīdina, ka tad šie rīki var nespēt pārbaudīt arī dažas likumīgas vietnes.

Nākamais solis gaidāms jau otrdien, 27. oktobrī, kad Google no Chrome uzticamo sertifikātu krātuves izņems eMudhra sakni emSign ECC Root CA - G3. Uzņēmums brīdina, ka vietnēm, kuru sertifikāti balstās uz šo sakni, steidzami jāiegūst jauns sertifikāts no citas iestādes, citādi tās Chrome vairs nedarbosies.