Apple hat kompromittierte Webzertifikate des indischen Anbieters eMudhra in wichtigen Apps und Diensten gesperrt. Für bestimmte Werkzeuge auf der Kommandozeile soll ein macOS-Update noch eine zusätzliche Korrektur bringen.
Anfang Oktober entdeckte ein Sicherheitsforscher:innen, dass private kryptografische Schlüssel zu acht Zwischenzertifikaten der indischen Zertifizierungsstelle eMudhra zu schwach waren. Angreifer:innen hätten die Schlüssel nutzen können, um sich als vertrauenswürdige Webseiten auszugeben. Dadurch wären möglicherweise sensible Informationen von Nutzer:innen gefährdet gewesen.
Bislang gibt es jedoch keine Hinweise darauf, dass jemand die kompromittierten Schlüssel missbräuchlich eingesetzt hat. Die betroffenen Zertifikate wurden von allen großen Webbrowsern akzeptiert, darunter Safari, Chrome, Edge und Firefox. Apple und die anderen Unternehmen hinter diesen Browsern haben inzwischen Maßnahmen zum Schutz ihrer Nutzer:innen ergriffen.
In einem Support-Dokument erklärt Apple, dass das Unternehmen die betroffenen TLS-Webzertifikate seit dem 19. Oktober blockiert. Die Sperre gilt für Safari, Mail sowie Apps, die Apples Netzwerk- und Sicherheitsumgebungen verwenden. Sie erfolgt automatisch und setzt kein Softwareupdate voraus. Die meisten Nutzer:innen von Apple-Geräten müssen daher nichts unternehmen.
Apple hat zudem betont, dass die Blockierung bereits auf diesen Wegen greift. Ein Update ist für die üblichen Anwendungen also nicht erforderlich. Die Maßnahme schützt vor dem Einsatz der betroffenen Zertifikate, auch wenn die Geräte selbst noch keine neue macOS-Version erhalten haben.
Eine Ausnahme betrifft macOS-Kommandozeilenwerkzeuge. Dazu zählen auch Werkzeuge, die Systemadministrator:innen verwenden. Einige dieser Programme können die kompromittierten Zertifikate laut Apple weiterhin akzeptieren, bis ein macOS-Update die nötigen Änderungen enthält.
Bis Apple das Update veröffentlicht, können Nutzer:innen solcher Werkzeuge die betroffenen Stammzertifikate aus der Datei /etc/ssl/cert.pem entfernen. Das Unternehmen beschreibt das Vorgehen in seinem Support-Dokument ausführlicher. Wer keine entsprechenden Kommandozeilenwerkzeuge nutzt, muss nach Apples Angaben nichts weiter tun.
Einen Veröffentlichungstermin für das macOS-Update hat Apple bislang nicht genannt. Die Aktualisierung soll die Änderungen an /etc/ssl/cert.pem standardmäßig enthalten. Weitere technische Einzelheiten stehen im Support-Dokument des Unternehmens.
Via: https://www.macrumors.com
Den Beitrag in unserem Forum kommentieren
Apple legt starke Quartalszahlen vor, deutet aber zugleich steigende Preise und Engpässe bei Hardware an. Parallel konkretisieren sich Pläne für…
Der Leaker Digital Chat Station erwartet beim iPhone 18 einen größeren Akku und hält auch einen höheren Preis für möglich.…
Apple hält an getrennten Betriebssystemen für iPad und Mac fest. CEO John Ternus sagte bei einer Telefonkonferenz zu den Geschäftszahlen,…
Das neue iPad mini verbindet ein OLED-Display mit einem dünneren Gehäuse, mehr Leistung und Schutz vor Wasser und Staub. Erste…
Canva hat Affinity für das iPad veröffentlicht. Die kostenlose Design-App vereint Zeichnen, Vektorgrafik, Fotobearbeitung und Layout und ergänzt die Bedienung…
Apple testet neue KI-Funktionen für die Apple Watch, die Gespräche zusammenfassen und kürzlich Gesagtes wiedergeben. Die Funktionen sind zunächst für…
Diese Website benutzt Cookies um Ihr Nutzererlebnis zu verbessern. Wenn Sie diese Website weiter nutzen, gehen wir von Ihrem Einverständnis aus.
Mehr lesen