Apple заблокировала восемь веб-сертификатов, но встроенный curl в macOS может продолжать им доверять
Изображение: OpenAI
Apple заблокировала восемь скомпрометированных веб-сертификатов, которые могли помочь мошенникам выдать поддельные сайты за настоящие, сообщает 9to5Mac. Все восемь сертификатов уже отозвали. Google и Mozilla также заблокировали их в своих браузерах.
Речь идёт о промежуточных сертификатах, которые участвуют в проверке подлинности сайтов. Ошибка в скрипте генерации сертификатов позволяла легко подобрать часть закрытых ключей: для этого было достаточно проверить всего 256 вариантов.
Однако, по предупреждению инженера по криптографии Mozilla, компьютеры Mac могут продолжать доверять этим сертификатам, потому что macOS не проверяет отзыв; это касается и встроенной утилиты /usr/bin/curl. Используемый ею набор сертификатов не учитывает сведения об отзыве. Иными словами, если Mac уже принял один из этих сертификатов, он продолжит ему доверять.
Свидетельств использования скомпрометированных сертификатов в реальных атаках пока нет; Apple, вероятно, сможет исправить проблему в одном из ближайших обновлений безопасности. Для новых сертификатов уже приняли меры, чтобы проблема не повторилась.
