Apple ha bloqueado ocho certificados de seguridad comprometidos en iOS e iPadOS después de que los investigadores descubrieran que sus claves privadas eran asombrosamente débiles. El despliegue de la protección en Mac es más complicado.
Los certificados de seguridad (SSL/TLS) ayudan a mantener seguros a los usuarios de Internet al cifrar el tráfico y verificar la propiedad de los dominios. Sin embargo, un conjunto de certificados de una autoridad ha sido retirado de su uso después de que investigadores de seguridad los consideraran extremadamente débiles. La autoridad de certificación india eMudhra revocó los certificados, lo que impide que los sitios web los utilicen. La revocación se produjo tras su descubrimiento y divulgación el 17 de octubre.
Google Chrome bloqueó seis intermedios comprometidos autorizados para emitir certificados TLS, y Mozilla bloqueó los certificados comprometidos en Firefox, ambos el 17 de octubre. Apple siguió el 19 de octubre añadiendo protecciones a iOS e iPadOS.
Las claves eran totalmente adivinables. Las claves privadas comprometidas eran las número 4, 56, 66, 115, 155, 156, 230 y 237. Seis de los certificados se usaban para TLS y eran de confianza para los programas raíz de Apple, Chrome, Microsoft y Mozilla, mientras que dos se usaban para la firma de código y eran de confianza para Microsoft. La mayoría nunca llegó a producción, y no hay pruebas de que los atacantes hayan usado las claves. Se recomienda a los usuarios actualizar su software lo antes posible.
Fuente: AppleInsider · Resumido por HeadlinesBriefing