Apple hat kompromittierte Webzertifikate des indischen Anbieters eMudhra in wichtigen Apps und Diensten gesperrt. Für bestimmte Werkzeuge auf der Kommandozeile soll ein macOS-Update noch eine zusätzliche Korrektur bringen.
Schwache Schlüssel hätten gefälschte Webseiten ermöglicht
Anfang Oktober entdeckte ein Sicherheitsforscher:innen, dass private kryptografische Schlüssel zu acht Zwischenzertifikaten der indischen Zertifizierungsstelle eMudhra zu schwach waren. Angreifer:innen hätten die Schlüssel nutzen können, um sich als vertrauenswürdige Webseiten auszugeben. Dadurch wären möglicherweise sensible Informationen von Nutzer:innen gefährdet gewesen.
Bislang gibt es jedoch keine Hinweise darauf, dass jemand die kompromittierten Schlüssel missbräuchlich eingesetzt hat. Die betroffenen Zertifikate wurden von allen großen Webbrowsern akzeptiert, darunter Safari, Chrome, Edge und Firefox. Apple und die anderen Unternehmen hinter diesen Browsern haben inzwischen Maßnahmen zum Schutz ihrer Nutzer:innen ergriffen.
Apple blockiert Zertifikate ohne Softwareupdate
In einem Support-Dokument erklärt Apple, dass das Unternehmen die betroffenen TLS-Webzertifikate seit dem 19. Oktober blockiert. Die Sperre gilt für Safari, Mail sowie Apps, die Apples Netzwerk- und Sicherheitsumgebungen verwenden. Sie erfolgt automatisch und setzt kein Softwareupdate voraus. Die meisten Nutzer:innen von Apple-Geräten müssen daher nichts unternehmen.
Apple hat zudem betont, dass die Blockierung bereits auf diesen Wegen greift. Ein Update ist für die üblichen Anwendungen also nicht erforderlich. Die Maßnahme schützt vor dem Einsatz der betroffenen Zertifikate, auch wenn die Geräte selbst noch keine neue macOS-Version erhalten haben.
Kommandozeilenwerkzeuge benötigen eine zusätzliche Korrektur
Eine Ausnahme betrifft macOS-Kommandozeilenwerkzeuge. Dazu zählen auch Werkzeuge, die Systemadministrator:innen verwenden. Einige dieser Programme können die kompromittierten Zertifikate laut Apple weiterhin akzeptieren, bis ein macOS-Update die nötigen Änderungen enthält.
Bis Apple das Update veröffentlicht, können Nutzer:innen solcher Werkzeuge die betroffenen Stammzertifikate aus der Datei /etc/ssl/cert.pem entfernen. Das Unternehmen beschreibt das Vorgehen in seinem Support-Dokument ausführlicher. Wer keine entsprechenden Kommandozeilenwerkzeuge nutzt, muss nach Apples Angaben nichts weiter tun.
Einen Veröffentlichungstermin für das macOS-Update hat Apple bislang nicht genannt. Die Aktualisierung soll die Änderungen an /etc/ssl/cert.pem standardmäßig enthalten. Weitere technische Einzelheiten stehen im Support-Dokument des Unternehmens.
