Apple ha bloccato i certificati TLS compromessi emessi dall'azienda indiana eMudhra, ma sui Mac resta una lacuna: alcuni strumenti da riga di comando continuano ad accettarli fino al prossimo aggiornamento di macOS. Per la maggior parte degli utenti non serve fare nulla, perché la protezione è automatica e non richiede alcuna installazione.
Il problema nasce all'inizio di ottobre, quando un ricercatore ha scoperto che le chiavi private associate a otto certificati intermedi di autorità di certificazione (CA) di eMudhra erano deboli. Secondo il report tecnico di Mozilla citato da BleepingComputer, tutti e otto i certificati usavano chiavi P-384 generate ad aprile 2025 con valori inferiori a 256: chiunque poteva recuperarle provando appena 256 numeri. Il ricercatore, noto come Wayne, ha individuato la falla il 17 ottobre analizzando dati pubblici sui certificati. Con quelle chiavi un malintenzionato avrebbe potuto creare certificati validi per qualsiasi sito web, rendendo possibile impersonare siti legittimi e intercettare comunicazioni cifrate. eMudhra ha riconosciuto l'errore: in una nota ha spiegato che uno script difettoso aveva prodotto CA con chiavi deboli, e ha revocato i certificati entro 14 ore dalla conferma del problema. Secondo l'azienda, i certificati interessati non avevano emesso certificati pubblici per siti finali e la sua infrastruttura non è stata compromessa. Non ci sono prove che le chiavi siano state sfruttate.
Immagine: Apple — https://www.apple.com/it/os/macos/
I certificati di eMudhra erano considerati attendibili da tutti i principali browser, tra cui Safari, Chrome, Edge e Firefox. Apple, secondo il suo documento di supporto, li blocca dal 19 ottobre in Safari, Mail e nelle app che usano i framework di rete e sicurezza del sistema. Il blocco avviene automaticamente, senza aggiornamenti software. Sul fronte dei browser, Cloudflare ha dichiarato di stare applicando contromisure e rilasciando aggiornamenti per i propri client.
L'eccezione riguarda gli strumenti da riga di comando di macOS, come curl e git, che possono ancora accettare i certificati compromessi. È un rischio concreto soprattutto per gli amministratori di sistema, che usano questi strumenti per collegarsi a server e servizi. Apple suggerisce, nel frattempo, di rimuovere i certificati root interessati dal file /etc/ssl/cert.pem. Il problema verrà risolto con un aggiornamento di macOS che includerà le modifiche a quel file per impostazione predefinita, ma Apple non ha ancora indicato una data di rilascio.
Immagine: Apple — https://help.apple.com/applestyleguide
La vicenda mostra quanto la fiducia nei certificati dipenda da una catena di autorità che, quando si incrina anche in un solo anello, obbliga i fornitori di software a bloccare in fretta componenti che fino al giorno prima erano considerati affidabili. Per ora, chi usa Mac in ambito professionale dovrebbe verificare quali strumenti da riga di comando si appoggiano a quei certificati e intervenire manualmente.
Ancora nessun commento. Puoi essere il primo!