Apple hat acht kompromittierte Sicherheitszertifikate unter iOS und iPadOS blockiert, nachdem Forscher festgestellt hatten, dass deren private Schlüssel erstaunlich schwach waren. Die Einführung des Schutzes auf dem Mac ist komplizierter.
Sicherheitszertifikate (SSL/TLS) helfen, Internetnutzer zu schützen, indem sie den Datenverkehr verschlüsseln und die Inhaberschaft von Domains überprüfen. Eine Reihe von Zertifikaten einer Zertifizierungsstelle wurde jedoch außer Betrieb genommen, nachdem Sicherheitsforscher sie als äußerst schwach eingestuft hatten. Die indische Zertifizierungsstelle eMudhra hat die Zertifikate widerrufen, sodass Websites sie nicht mehr verwenden können. Der Widerruf erfolgte nach ihrer Entdeckung und Offenlegung am 17. Oktober.
Google Chrome blockierte am 17. Oktober sechs kompromittierte Zwischenzertifikate, die zur Ausstellung von TLS-Zertifikaten berechtigt waren, und Mozilla blockierte am selben Tag die kompromittierten Zertifikate in Firefox. Apple zog am 19. Oktober nach und ergänzte iOS und iPadOS um Schutzmaßnahmen.
Die Schlüssel waren vollständig erratbar. Die kompromittierten privaten Schlüssel trugen die Nummern 4, 56, 66, 115, 155, 156, 230 und 237. Sechs der Zertifikate wurden für TLS verwendet und waren in den Root-Programmen von Apple, Chrome, Microsoft und Mozilla vertrauenswürdig, während zwei für die Codesignierung genutzt und von Microsoft als vertrauenswürdig eingestuft wurden. Die meisten gelangten nie in den Produktivbetrieb, und es gibt keine Hinweise darauf, dass Angreifer die Schlüssel genutzt haben. Nutzern wird empfohlen, ihre Software so schnell wie möglich zu aktualisieren.
Quelle: AppleInsider · Zusammengefasst von HeadlinesBriefing