Apple, internet sitelerinin kimliğini doğrulayan eMudhra kaynaklı bazı sertifikaları 19 Ekim’den itibaren Safari, Mail ve kendi bağlantı-güvenlik altyapısını kullanan uygulamalarda reddediyor. Bu korumadan yararlanmak için kullanıcıların güncelleme yüklemesi gerekmiyor.
Zayıf anahtarlar sahte site riskine yol açabilir
Sorunun, Hindistan merkezli eMudhra’nın sertifika üretiminde kullandığı zayıf şifreleme anahtarlarından kaynaklandığı belirtiliyor. Bu anahtarlar kötüye kullanılırsa saldırganlar sahte bir siteyi gerçek bir sitenin kimliğiyle gösterebilir ve kullanıcıların özel bilgilerini tehlikeye atabilir. Söz konusu anahtarların saldırılarda kullanıldığına dair kanıt bulunmuyor.
Toplam 12 web sertifikası engelleniyor
Apple’ın açıklamasına göre sorun, eMudhra’nın sekiz sertifika biriminin özel anahtarlarını kapsıyor. Birimlerin altısı internet bağlantıları, ikisi ise yazılım kimliklerinin doğrulanması için sertifika üretiyor. Apple, yazılım doğrulamasında kullanılan iki birimin sertifikalarına güvenmiyor.
Web bağlantıları için sertifika düzenleyen altı birimin her birinde iki sertifika bulunuyor. Bu nedenle Apple toplam 12 sertifikayı engelliyor. eMudhra ile Sectigo da sorunlu sertifikaları iptal etti.
curl ve git için macOS güncellemesi hazırlanıyor
Apple’ın mevcut koruması, Mac’teki bazı Terminal araçlarını kapsamıyor. Geliştiricilerin ve sistem yöneticilerinin kullandığı curl ve git gibi araçlar, sertifikaları ayrı bir dosyada bulunan liste üzerinden denetleyebiliyor ve riskli sertifikaları kabul edebiliyor.
Apple, bu liste dosyasını değiştirecek bir macOS güncellemesi hazırlıyor ancak çıkış tarihi henüz açıklanmadı. Güncellemeyi beklemek istemeyen yöneticiler, Apple’ın yönergelerini izleyerek ilgili sertifikaları listeden çıkarabilir. Bu işlem bazı geçerli sitelere yapılan bağlantılarda da sorun oluşturabilir.
Terminal kullanmayanların dosyayı değiştirmesine gerek yok. Safari, Mail ve Apple’ın ilgili altyapısından yararlanan uygulamalar engelleme listesini kullanıyor.
