Apple заблокировала восемь скомпрометированных сертификатов безопасности в iOS и iPadOS после того, как исследователи обнаружили, что их закрытые ключи невероятно слабы. Развертывание защиты на Mac является более сложным.
Сертификаты безопасности (SSL/TLS) помогают защищать пользователей интернета, шифруя трафик и подтверждая принадлежность доменов. Однако набор сертификатов одного центра сертификации был выведен из употребления после того, как специалисты по безопасности признали их крайне слабыми. Индийский центр сертификации eMudhra отозвал эти сертификаты, что не позволяет веб-сайтам использовать их. Отзыв последовал после их обнаружения и раскрытия 17 октября.
Google Chrome заблокировал шесть скомпрометированных промежуточных сертификатов, уполномоченных выпускать TLS-сертификаты, а Mozilla заблокировала скомпрометированные сертификаты в Firefox; оба действия состоялись 17 октября. Apple последовала 19 октября, добавив защиту в iOS и iPadOS.
Ключи можно было полностью угадать. Скомпрометированными были закрытые ключи с номерами 4, 56, 66, 115, 155, 156, 230 и 237. Шесть сертификатов использовались для TLS и были доверенными в корневых программах Apple, Chrome, Microsoft и Mozilla, а два применялись для подписи кода и были доверенными для Microsoft. Большинство из них никогда не использовалось в эксплуатации, и нет никаких доказательств того, что злоумышленники применяли ключи. Пользователям рекомендуется как можно скорее обновить программное обеспечение.
Источник: AppleInsider · Сводку подготовил HeadlinesBriefing