به گزارش MacRumors، اپل از ۱۹ اکتبر گواهیهای TLS مخدوش شرکت هندی eMudhra را بهصورت خودکار در سافاری، Mail و اپ‌هایی که از فریمورکهای شبکه و امنیتی اپل استفاده میکنند مسدود کرده است. این شرکت همچنین روی بهروزرسانی مکاواس کار می‌کند که اصلاح باقی‌مانده را برای ابزارهای خط فرمان اعمال می‌کند، اما هنوز تاریخ انتشار آن را اعلام نکرده است.
ماجرا از کجا شروع شد؟
اوایل همین ماه، یک پژوهشگر امنیتی متوجه شد کلیدهای خصوصی رمزنگاری مربوط به هشت گواهی «مرجع صدور گواهی میانی» (Intermediate CA) متعلق به شرکت eMudhra ضعیف هستند. مرجع صدور گواهی، نهادی است که به وب‌سایت‌ها گواهی دیجیتال می‌دهد تا مرورگر مطمئن شود با سایت اصلی ارتباط دارد، نه یک سایت جعلی.
اگر کلید خصوصی چنین گواهی‌ای ضعیف باشد، مهاجم در تئوری می‌تواند گواهی معتبرنما برای هر دامنه‌ای بسازد و خود را به‌جای سایت‌های قانونی جا بزند. در چنین حالتی، اطلاعات حساس کاربران مثل رمز عبور و داده‌های بانکی در معرض خطر قرار می‌گیرد. با این حال فعلاً هیچ شواهدی از سوءاستفاده واقعی از این کلیدها گزارش نشده است.
چرا این موضوع جدی گرفته شد؟
گواهیهای eMudhra در همه‌ی مرورگرهای مهم، از جمله سافاری، کروم، اج و فایرفاکس، قابل اعتماد شناخته می‌شدند. یعنی اگر مهاجمی گواهی جعلی با این زنجیره می‌ساخت، مرورگرها آن را معتبر می‌دانستند و حتی نماد قفل هم نمایش داده می‌شد. به همین دلیل اپل و شرکت‌های سازنده‌ی مرورگرهای دیگر به‌سرعت دست به کار شدند تا اعتماد به این گواهی‌ها را لغو کنند.
اقدام اپل برای کاربران عادی
اپل در یک سند پشتیبانی توضیح داده که مسدودسازی گواهیهای مخدوش از ۱۹ اکتبر آغاز شده است. این کار بدون نیاز به بهروزرسانی نرم‌افزار و بهصورت خودکار انجام می‌شود؛ بنابراین بیشتر کاربران آیفون، آیپد و مک لازم نیست کار خاصی انجام دهند. سافاری، Mail و اپ‌هایی که از فریمورکهای شبکه و امنیت اپل بهره می‌برند، از این محافظت برخوردارند.
استثنا: ابزارهای خط فرمان مک
یک استثنا وجود دارد. کاربرانی که از ابزارهای خط فرمان مکاواس استفاده میکنند، مانند مدیران سیستم و توسعه‌دهندگان، باید بدانند که بعضی از این ابزارها تا زمان انتشار بهروزرسانی مکاواس همچنان ممکن است گواهیهای مخدوش را بپذیرند. دلیلش این است که این ابزارها به فایل جداگانه‌ی /etc/ssl/cert.pem برای فهرست گواهیهای ریشه تکیه میکنند و مسدودسازی خودکار روی آن اثری ندارد.
اپل برای این گروه راهکار موقتی پیشنهاد کرده است: حذف گواهیهای ریشهی مربوطه از فایل /etc/ssl/cert.pem. جزئیات دقیق این روش در سند پشتیبانی اپل آمده است. بهروزرسانی بعدی مکاواس این تغییر را بهصورت پیش‌فرض اعمال خواهد کرد، اما زمان عرضه‌ی آن مشخص نیست.
جمع‌بندی
این اتفاق نمونه‌ی دیگری از اهمیت مدیریت دقیق زنجیره‌ی اعتماد در وب است؛ ضعف در یک مرجع صدور گواهی می‌تواند کل اکوسیستم را تهدید کند. خوشبختانه واکنش هماهنگ اپل و سازندگان مرورگرها باعث شد پیش از هر سوءاستفاده‌ی شناخته‌شده، خطر مهار شود. کاربران عادی نگرانی خاصی ندارند، اما مدیران سیستم بهتر است تا انتشار اصلاحیه، راهکار موقت اپل را اجرا کنند.
منبع: MacRumors
