Apple блокирует веб-сертификаты, которыми могли бы воспользоваться мошенники, но уязвимость Mac сохраняется
Apple заблокировала восемь сертификатов безопасности веб-сайтов, которые мошенники могли использовать для имитации легитимных сайтов.
Однако один инженер-криптограф предупредил, что Mac могут и дальше доверять скомпрометированным сертификатам, поскольку macOS не проверяет, не были ли они отозваны…
Проблема касается так называемых промежуточных сертификатов. Они используются для подтверждения права собственности на сайт: например, если вы зайдёте на apple.com, Safari проверит, что перед вами настоящий сайт.
Однако ошибка в скрипте, использовавшемся для создания этих сертификатов, привела к тому, что несколько закрытых ключей можно было легко обнаружить, перебрав всего 256 возможных чисел. Восемь скомпрометированных сертификатов уже отозваны, а также приняты меры, чтобы уязвимость не затронула сертификаты, выпускаемые в будущем.
Bleeping Computer сообщает, что Apple, Google и Mozilla заблокировали скомпрометированные сертификаты в своих браузерах. Однако инженер-криптограф Mozilla Деннис Джексон предупреждает, что Mac могут и дальше им доверять.
Джексон также предупреждает, что встроенная в macOS утилита /usr/bin/curl может и дальше доверять скомпрометированным сертификатам, поскольку её хранилище сертификатов не проверяет информацию об их отзыве.
Иными словами, если ваш Mac уже принял один из этих сертификатов, он продолжит ему доверять. Однако пока нет никаких свидетельств того, что сертификаты используются в реальных условиях, и Apple, вероятно, сможет устранить проблему в одном из ближайших обновлений безопасности.
- Чехлы для iPhone Duo
- Плетёные кабели Beats USB-C
- Сертифицированные восстановленные устройства Apple со скидкой 15% на apple.com
- AirPods Pro 3 со скидкой
- Беспроводной адаптер CarPlay
- Чехол для AirTag с батареей на 10 лет
- Logitech MX Master 4 для Mac
Фото: Мохаммад Рахмани на Unsplash
