Apple велела разработчикам вручную обновить сертификаты, а macOS 27.2 откатила исправление

Какие инструменты Apple всё ещё доверяют плохим сертификатам

Тестовая страница показывает, что утилиты командной строки Apple, в том числе git, curl и python3, по-прежнему принимают скомпрометированные сертификаты eMudhra, хотя десятки других проектов выпустили исправления за несколько дней. Safari и другие приложения на сетевом фреймворке Apple уже защищены.

Хронология такая: Apple уведомили 17 октября; macOS 27.2 вышла 26 октября без исправления и откатила ручной обходной путь; страница появилась 28 октября. Риск классический для доверенного, но неправильного корневого сертификата. Тот, кто может перехватить соединение, способен читать и менять HTTPS-трафик, поэтому клонирование и загрузка изменений могут принести код, подготовленный атакующим, а токены могут утечь. На странице есть проверка git ls-remote на тестовом репозитории: ошибка сертификата означает, что вы защищены.

В заметке Apple о скомпрометированных промежуточных CA сказано, что обновления macOS могут откатить исправление. Поэтому страница советует повторять проверку после каждого обновления.

Тред: в заголовке виноват git, а проблема в системном хранилище

Самым поддержанным было возражение против формулировки:

«Надо писать: “Apple всё ещё поставляет скомпрометированный CA в /etc/”. Git — лишь жертва, как и любое другое приложение, которое использует системные CA» — комментатор, возразивший против заголовка

О самом способе исправления разработчик, который пользуется собственными git и curl из Homebrew, написал, что рекомендация Apple «довольно возмутительна»:

«Довольно возмутительно, что рекомендация Apple — вручную править цепочку сертификатов и ждать, что последующие обновления ОС могут откатить защиту, вернув уязвимость (как уже случилось как минимум один раз).» — разработчик, который использует git и curl из Homebrew

Сопровождающий Idris увидел здесь проблему доставки, а не безопасности:

«Apple должна делать как Windows Update. Не понимаю, как они дошли до сих пор без способа выпускать мелкие патчи вне монолитных обновлений ОС.» — kryptiskt, сопровождающий Idris

Что сделать до выхода исправления от Apple

Проверьте в первую очередь CI-раннеры: они используют те же системные утилиты, их почти не трогают руками, и именно там украденный токен навредит сильнее всего. Исправление, которое живёт в /etc/ssl, может откатить следующий point-релиз, поэтому проверку лучше встроить в пайплайн, а не надеяться, что кто-то её вспомнит.