A Apple bloqueou oito certificados de segurança comprometidos no iOS e no iPadOS depois que pesquisadores descobriram que suas chaves privadas eram assustadoramente fracas. A implantação da proteção no Mac é mais complicada.
Os certificados de segurança (SSL/TLS) ajudam a manter os usuários da internet protegidos ao criptografar o tráfego e verificar a propriedade de domínios. No entanto, um conjunto de certificados de uma mesma autoridade foi retirado de uso depois que pesquisadores de segurança os consideraram extremamente fracos. A autoridade certificadora indiana eMudhra revogou os certificados, o que impede que sites os utilizem. A revogação ocorreu após a descoberta e a divulgação, em 17 de outubro.
O Google Chrome bloqueou seis intermediários comprometidos autorizados a emitir certificados TLS, e a Mozilla bloqueou os certificados comprometidos no Firefox, ambos em 17 de outubro. A Apple seguiu em 19 de outubro, adicionando proteções ao iOS e ao iPadOS.
As chaves eram totalmente adivinháveis. As chaves privadas comprometidas eram as de números 4, 56, 66, 115, 155, 156, 230 e 237. Seis dos certificados eram usados para TLS e confiáveis pelos programas raiz da Apple, Chrome, Microsoft e Mozilla, enquanto dois eram usados para assinatura de código e confiáveis pela Microsoft. A maioria nunca chegou à produção, e não há evidências de que invasores tenham usado as chaves. Recomenda-se que os usuários atualizem seus softwares o quanto antes.
Fonte: AppleInsider · Resumido por HeadlinesBriefing