苹果封锁eMudhra问题证书 命令行修复待更新
报价宝综合消息苹果封锁eMudhra问题证书 命令行修复待更新
本月早些时候，安全研究人员发现印度数字证书机构eMudhra的8个中级CA证书私钥强度过低，最短只有3到8位，几乎形同虚设。这类密钥一旦被利用，攻击者可以伪造出浏览器默认信任的正规网站，进而窃取用户的敏感信息。所幸目前没有证据表明这些密钥遭到恶意利用。
eMudhra的证书此前被Safari、Chrome、Edge和Firefox等主流浏览器广泛信任。据路透社报道，事件曝光后，eMudhra宣布退出SSL/TLS证书业务，这部分收入大约只占其总收入的百分之一。
苹果在一份支持文档中表示，从10月19日起，Safari、邮件以及使用苹果网络与安全框架的应用已经自动封锁这些被入侵的TLS证书，整个过程无需安装系统更新，绝大多数用户不需要做任何操作。
有一个例外值得注意：macOS上的命令行工具是不少系统管理员的日常，而这类工具在接受证书的逻辑上独立于浏览器框架，在苹果发布包含修复的macOS更新之前，部分命令行工具仍可能接受这些问题证书。苹果建议相关用户从 /etc/ssl/cert.pem 文件中手动移除相应的根CA证书，具体步骤见支持文档。
苹果没有公布这次macOS更新会在何时推送。这次事件也再次暴露了证书体系的脆弱点：一家知名度不高的证书机构出问题，足以波及整个Web的信任链条。
编译自 MacRumors，原标题："Apple Addresses Web Security Threat, Working on macOS Update With Additional Fix"
