macOS 27.3 vymaže prolomené certifikáty. Opraví i nástroje v Terminálu

První beta macOS 27.3 odstraňuje z Macu osm kompromitovaných certifikátů indické firmy eMudhra. Dosavadní blokace totiž fungovala jen v Safari a dalších aplikacích Applu, nikoli v příkazové řádce. Stejnou opravu má dřív přinést i verze 27.2.1.

Příběh, o kterém jsme psali v článku Apple zablokoval osm slabých certifikátů, se konečně blíží k závěru. První vývojářská beta systému macOS 27.3 totiž obsahuje opravu, která zbývající díru zacelí — a týká se právě té části systému, kde problém přetrvával nejdéle. Upozornil na to server MacRumors.

Připomeňme, o co šlo. Bezpečnostní výzkumník minulý měsíc zjistil, že soukromé kryptografické klíče u osmi mezilehlých certifikačních autorit indické společnosti eMudhra byly slabé. V praxi to znamenalo, že útočník, který by je dokázal odvodit, by si mohl vystavit platně vypadající certifikát pro libovolnou webovou stránku a vydávat se za ni. Pro uživatele by takový podvržený web byl k nerozeznání od pravého, včetně zámečku v adresním řádku.

Apple zareagoval poměrně svižně. Od devatenáctého října firma problematické certifikáty blokuje v Safari, Mailu a dalších aplikacích, které staví na jejích síťových a bezpečnostních frameworcích, a to napříč všemi platformami. Blokace navíc proběhla automaticky, bez nutnosti instalovat jakoukoli aktualizaci — Apple k tomu používá mechanismus, který umí seznam důvěryhodných autorit upravit na dálku. Drtivá většina uživatelů tak nemusela udělat vůbec nic.

Jenže zůstala jedna skulina a právě ta se teď zavírá. Nástroje příkazové řádky — tedy všechno, co spouštíte v Terminálu, od curlu přes git po wget — se o seznam zablokovaných autorit Applu nestarají. Čtou si vlastní soubor na cestě /etc/ssl/cert.pem a ten zůstával beze změny. Pro běžného uživatele šlo o teoretický problém, pro vývojáře a správce serverů ale o docela reálný.

Nová beta tenhle soubor čistí. Oprava spočívá v tom, že se dotčené certifikáty ze souboru /etc/ssl/cert.pem prostě odstraní, takže je nástroje příkazové řádky přestanou akceptovat. Zní to jednoduše a vlastně to jednoduché je — zarážející je spíš to, jak dlouho to trvalo. Server AppleInsider ve svém článku s nadsázkou poznamenal, že s těmi „pitomě nebezpečnými certifikáty“ je konečně konec.

Dobrá zpráva je, že na prosinec čekat nemusíte. Ostrá verze macOS 27.3 sice vyjde až s celou vlnou prosincových aktualizací, podle MacRumors ale Apple s největší pravděpodobností vydá dřív samostatnou aktualizaci macOS 27.2.1, která přinese tutéž opravu. Tak to firma u bezpečnostních záplat dělává — hlavní funkční novinky si nechá na velké vydání, kritickou opravu pošle ven zvlášť.

Kdo nechce čekat vůbec, může si pomoci sám. Apple ve svém podpůrném dokumentu popisuje postup, jak dotčené certifikáty z /etc/ssl/cert.pem odstranit ručně, a dokument je dostupný i v českém rozhraní podpory. Je to řešení pro lidi, kteří se v Terminálu pohybují běžně; pokud vám předchozí věta nic neříká, klidně na aktualizaci počkejte. A pokud Terminál nepoužíváte vůbec, jste podle Applu chránění už teď.

Zatím se naštěstí neobjevil žádný důkaz, že by někdo slabé klíče skutečně zneužil. To ale neznamená, že by se dalo mávnout rukou — jakmile se informace o zranitelnosti dostane ven, začne závod mezi obránci a útočníky a rozhodují dny. Apple nebyl v reakci sám, podobné kroky podnikly i Google, Microsoft a Mozilla. Certifikační autorita, která si neohlídá vlastní klíče, je problém pro celý internet, ne pro jednu platformu.

Celý případ je zároveň pěknou ilustrací toho, jak křehký je systém důvěry, na kterém zabezpečené připojení stojí. Váš prohlížeč věří stovkám certifikačních autorit po celém světě a stačí, aby jediná z nich udělala chybu, a bezpečnost padá u všech. Řetěz důvěry má přesně tolik síly jako jeho nejslabší článek a v tomhle případě byl článek vyroben v Indii.

Pro české uživatele z toho plyne jediná praktická rada: až vám Apple nabídne aktualizaci macOS, nenechávejte ji ležet. Bezpečnostní opravy tohoto typu nepřinesou žádnou novou funkci, o kterou by stálo za to se hádat, a instalace trvá pár minut. Je to ta nejnudnější forma péče o počítač — a zároveň ta, která se nejvíc vyplatí.

Zdroje: MacRumors, AppleInsider, Podpora Apple