به گزارش MacRumors، اولین نسخه بتای توسعه‌دهندگان macOS 27.3 یک اصلاحیه امنیتی مهم دارد: گواهیهای وب مخدوش‌شده شرکت eMudhra را از فایل /etc/ssl/cert.pem حذف می‌کند تا ابزارهای خط فرمان دیگر آن‌ها را نپذیرند. انتشار عمومی این نسخه برای ماه دسامبر انتظار میرود، اما احتمالاً بهروزرسانی macOS 27.2.1 با همین اصلاحیه زودتر منتشر میشود.
ماجرای گواهیهای eMudhra چیست؟
ماجرا از ماه گذشته شروع شد؛ زمانی که یک پژوهشگر امنیتی متوجه شد کلیدهای رمزنگاری خصوصی مربوط به هشت گواهی واسط مرجع صدور گواهی (CA) شرکت هندی eMudhra ضعیف هستند. در زیرساخت اینترنت، گواهیهای TLS تضمین میکنند که کاربر واقعاً به وب‌سایت اصلی متصل شده است. اگر کلید خصوصی چنین گواهی‌ای ضعیف یا قابل حدس باشد، مهاجم می‌تواند در تئوری گواهی جعلی بسازد و خودش را جای یک وب‌سایت معتبر جا بزند.
این موضوع می‌تواند اطلاعات حساس کاربران، مانند رمز عبور یا اطلاعات بانکی، را در معرض خطر قرار دهد. با این حال، تاکنون هیچ مدرکی منتشر نشده که نشان دهد این کلیدها واقعاً بهصورت مخرب مورد سوءاستفاده قرار گرفته‌اند.
اپل چه کاری از قبل انجام داده است؟
طبق اعلام اپل، مسدودسازی گواهیهای TLS مخدوش eMudhra از ۱۹ اکتبر در تمام پلتفرم‌های نرم‌افزاری این شرکت فعال شده است. این محدودیت در Safari، Mail و هر برنامه‌ای که از چارچوبهای شبکه و امنیتی اپل استفاده کند اعمال میشود. نکته مهم این است که مسدودسازی بهصورت خودکار و بدون نیاز به نصب بهروزرسانی انجام شده است، بنابراین اکثر کاربران لازم نیست کاری انجام دهند.
اما ابزارهای خط فرمان، مثل برنامههایی که در Terminal اجرا می‌شوند، معمولاً از فهرست گواهیهای ریشه در فایل cert.pem استفاده میکنند و از این مسدودسازی سیستمی مستثنی بودند. اصلاحیه جدید همین شکاف را می‌بندد.
چه کسانی باید اقدام کنند؟
اگر از ابزارهای خط فرمان در Terminal یا برنامه‌های مشابه استفاده نمی‌کنید، از قبل کاملاً محافظت شده‌اید. برای توسعه‌دهندگان و کاربران حرفه‌ای که با این ابزارها کار میکنند، دو راه وجود دارد: نصب بتای macOS 27.3 یا منتظر ماندن برای macOS 27.2.1. اگر نمی‌خواهید مک خود را فعلاً بهروز کنید، میتوانید گواهیهای آسیبدیده را بهصورت دستی از فایل /etc/ssl/cert.pem حذف کنید. مراحل دقیق این کار در سند پشتیبانی اپل درباره همین موضوع توضیح داده شده است.
macOS 27.3 چه چیزهای دیگری دارد؟
بتای macOS 27.3 فقط به مسائل امنیتی محدود نیست. پیش‌تر درباره اسکرین‌سیور Pro Light در macOS 27.3 بتا ۱ و همچنین رندر فایل‌های Markdown در Quick Look نوشته‌ایم. اگر به تغییرات نسخه موبایلی علاقه دارید، مطلب همه‌چیز درباره iOS 27.3 بتا را هم ببینید.
این اتفاق یادآور این است که امنیت زنجیره اعتماد در وب فقط به مرورگر محدود نمی‌شود و ابزارهای کمتر دیده‌شده‌ای مثل curl یا اسکریپت‌های توسعه هم به همان اندازه به فهرست گواهیهای معتبر وابسته‌اند. رویکرد اپل در این ماجرا، یعنی مسدودسازی سریع سمت سرور و سپس اصلاح فایل‌های سیستمی در بهروزرسانی بعدی، نمونه‌ای از پاسخ دو مرحله‌ای به چنین مشکلاتی است.
منبع: MacRumors
