به گزارش 9to5Mac، اپل با انتشار macOS 27.2.1، macOS 26.7.3 و macOS 15.8.3 شکاف امنیتی مربوط به گواهیهای لو رفته شرکت هندی eMudhra را بسته است. این شکاف باعث می‌شد ابزارهایی مانند curl و git همچنان گواهیهای در معرض خطر را معتبر بدانند، هرچند Safari و Mail از ماه اکتبر در برابر آن‌ها محافظت شده بودند.
ماجرای گواهیهای eMudhra از کجا شروع شد؟
چند هفته پیش Mozilla اعلام کرد کلیدهای خصوصی هشت مرجع صدور گواهی میانی (Intermediate CA) که شرکت eMudhra، ارائه‌دهنده خدمات گواهی دیجیتال در هند، آن‌ها را اداره می‌کند، در معرض نفوذ قرار گرفته است. این گواهیها در زنجیره اعتماد اینترنت نقش مهمی دارند: مرورگرها و برنامه‌ها با تکیه بر آن‌ها تشخیص می‌دهند که یک وب‌سایت واقعاً همان است که ادعا می‌کند.
اگر مهاجمی به کلیدهای خصوصی چنین گواهی‌هایی دسترسی داشته باشد، می‌تواند گواهی جعلی اما «معتبر‌نما» بسازد. نتیجه این است که امکان جعل هویت وب‌سایت‌ها و شنود اطلاعات حساس کاربران، مثل رمزهای عبور یا داده‌های بانکی، فراهم می‌شود.
واکنش اولیه اپل در اکتبر
اپل از ۱۹ اکتبر شروع به مسدودسازی خودکار گواهیهای آسیبدیده کرد و در ۲۳ اکتبر محافظت‌های تکمیلی را اضافه کرد. این تغییرات از طریق بهروزرسانی خودکار پیکربندی گواهیها ارسال شد، بنابراین کاربران لازم نبود نسخه جدیدی از macOS نصب کنند.
با این حال، این روش تمام سیستم را پوشش نمی‌داد. Safari، Mail و برنامه‌هایی که از چارچوبهای شبکه و امنیتی اپل استفاده می‌کنند محافظت شدند، اما برخی ابزارهای خط فرمان از جمله curl و git هنوز می‌توانستند گواهیهای لو رفته را بپذیرند. اپل در همان زمان یک سند پشتیبانی منتشر کرد و به مدیران سیستم نشان داد چگونه این خلأ را دستی ببندند؛ همچنین قول داد راه‌حل نهایی در یک بهروزرسانی بعدی macOS بیاید. اگر با این ابزارها آشنا نیستید، آموزش Terminal مک نقطه شروع خوبی است.
چه چیزی در به‌روزرسانی‌های جدید تغییر کرد؟
اپل اکنون سند پشتیبانی خود را بهروز کرده و تأیید کرده که راه‌حل نهایی در macOS 27.2.1، macOS 26.7.3 و macOS 15.8.3 موجود است. با نصب این نسخه‌ها، ابزارهای خط فرمان آسیبدیده دیگر گواهیهای لو رفته را نمی‌پذیرند و مدیران نیازی به اعمال دستی راه‌حل موقت ندارند.
نکته جالب این است که این به‌روزرسانی‌ها پنج گواهی ریشه (Root CA) را هم از فایل /etc/ssl/cert.pem حذف می‌کنند. سه مورد از آن‌ها گواهیهای اضافی eMudhra هستند که در راه‌حل دستی اولیه اپل ذکر نشده بودند. به این ترتیب، پوشش حفاظتی نسبت به اقدام اکتبر گسترده‌تر شده است. برای مرور سایر اصلاحات امنیتی همین نسخه‌ها میتوانید جزئیات رفع حفره‌های امنیتی در iOS 27.2.1 و macOS 27.2.1 را بخوانید.
اگر نمی‌توانید سیستم را بهروز کنید
برای کاربرانی که به هر دلیل امکان نصب نسخه جدید را ندارند، اپل همچنان دستورالعمل دستی را در سند پشتیبانی نگه داشته است. این سند نام و اثر انگشت SHA-256 مربوط به ۱۲ گواهی آسیبدیده و پنج گواهی ریشه حذف‌شده را هم فهرست می‌کند تا مدیران بتوانند آن‌ها را بررسی و مسدود کنند.
اپل یادآوری می‌کند که برخی برنامه‌ها و ابزارها فهرست گواهیهای ریشه مخصوص خود را دارند و نه از مسدودسازی اپل استفاده می‌کنند و نه از فایل cert.pem سیستم. در این موارد، کاربران باید مستقیماً با توسعه‌دهنده همان برنامه یا ابزار تماس بگیرند. این یعنی حتی پس از بهروزرسانی، ممکن است نرم‌افزارهای شخص ثالث به اقدام جداگانه نیاز داشته باشند.
برای کاربران عادی، توصیه ساده است: مک خود را به آخرین نسخه سازگار بهروز کنید. توسعه‌دهندگان و مدیران شبکه هم بهتر است بررسی کنند ابزارهای خط فرمان و اسکریپت‌هایشان از چه فهرست گواهی استفاده می‌کنند.
منبع: 9to5Mac
