Apple отозвала 8 сертификатов, но Mac может им доверять
Apple отозвала восемь сертификатов веб-безопасности, которыми мошенники могли подменять настоящие сайты. Однако инженер-криптограф предупреждает: уязвимость сертификатов macOS может сохраняться, ведь система не проверяет, отозван ли сертификат.
Что случилось с сертификатами
Речь идёт о так называемых промежуточных сертификатах. Именно они подтверждают, что сайт принадлежит своему владельцу. Например, когда вы заходите на apple.com, Safari убеждается, что открыт настоящий сайт, а не подделка.
Из-за ошибки в скрипте, который создавал эти сертификаты, часть закрытых ключей оказалась крайне слабой: их можно было вычислить, перебрав всего 256 вариантов чисел. Все восемь скомпрометированных сертификатов теперь отозваны, а для будущих приняты меры, чтобы такая проблема не повторилась.
Кто уже заблокировал сертификаты
По данным Bleeping Computer, Apple, Google и Mozilla заблокировали проблемные сертификаты в своих браузерах. Но инженер-криптограф Mozilla Деннис Джексон обращает внимание на оговорку для компьютеров Mac.
- Mac, который уже принял один из этих сертификатов, продолжит ему доверять.
- Встроенная в macOS утилита /usr/bin/curl тоже может доверять им, потому что её набор сертификатов не проверяет данные об отзыве.
Насколько это опасно
Пока нет свидетельств того, что эти сертификаты использовали в реальных атаках. Кроме того, Apple, вероятно, сможет закрыть проблему в одном из ближайших обновлений безопасности.
Пользователям Mac стоит просто следить за выходом таких обновлений и устанавливать их сразу после появления. Для обычного человека, который заходит на сайты через Safari, риск в этой ситуации выглядит невысоким, но полагаться на отзыв сертификатов в macOS пока не стоит.
