-
- Apple hat mit der ersten Entwicklerbeta von macOS 27.3 eine Sicherheitskorrektur eingeführt, die den Umgang mit kompromittierten Webzertifikaten des indischen Anbieters eMudhra verbessert.
- Das Update verhindert, dass bestimmte Kommandozeilenprogramme die betroffenen Zertifikate weiterhin als vertrauenswürdig einstufen.
- Die meisten Mac-Nutzer sind allerdings bereits seit Mitte Oktober geschützt, da Apple die Zertifikate in seinen Anwendungen und Sicherheitsframeworks automatisch blockiert.
macOS 27.3 regelt den Umgang mit den vom indischen IT-Unternehmen eMudhra ausgestellten Zertifikaten. Die Sicherheitsmaßnahme betrifft insbesondere Programme, die für die Überprüfung von TLS-Zertifikaten auf eine lokale Zertifikatsdatei des Betriebssystems zurückgreifen. Solche Zertifikate werden unter anderem verwendet, um die Identität von Webseiten zu bestätigen und verschlüsselte Verbindungen abzusichern.
macOS 27.3 entfernt Zertifikate aus Systemdatei
Mit der ersten Beta von macOS 27.3 entfernt Apple die betroffenen Zertifikate aus der Datei /etc/ssl/cert.pem. Diese enthält vertrauenswürdige Zertifikate, die von verschiedenen Kommandozeilenwerkzeugen für die Überprüfung verschlüsselter Verbindungen verwendet werden können.
Bislang bestand das Risiko, dass bestimmte Programme im Terminal die kompromittierten Zertifikate weiterhin akzeptierten, obwohl Apple sie in anderen Teilen des Betriebssystems bereits gesperrt hatte.
Die Aktualisierung soll diese Lücke schließen und dafür sorgen, dass auch entsprechende Kommandozeilenanwendungen den betroffenen Zertifikaten nicht mehr vertrauen.
Für Nutzer, die regelmäßig mit Terminal-Anwendungen oder Entwicklungswerkzeugen arbeiten, ist die Änderung deshalb besonders relevant.
Sicherheitsupdate könnte bereits vor Dezember erscheinen
Die reguläre Veröffentlichung von macOS 27.3 wird erst im Dezember erwartet. Apple könnte die Sicherheitskorrektur jedoch bereits früher an alle Nutzer verteilen.
Als möglicher Kandidat gilt macOS 27.2.1, das voraussichtlich als kleineres Wartungsupdate erscheinen wird. Eine offizielle Bestätigung des Veröffentlichungstermins liegt bislang nicht vor.
Sollte Apple die Korrektur tatsächlich in macOS 27.2.1 integrieren, müssten Nutzer nicht bis zur nächsten größeren Betriebssystemaktualisierung warten.
Alternativ können technisch versierte Anwender die betroffenen Zertifikate bereits jetzt manuell aus der Datei /etc/ssl/cert.pem entfernen. Apple stellt dafür eine entsprechende Anleitung in einem Supportdokument bereit.
Da Änderungen an systemrelevanten Zertifikatsdateien Auswirkungen auf die Funktionsfähigkeit einzelner Anwendungen haben können, sollten solche Eingriffe ausschließlich anhand der offiziellen Anweisungen erfolgen.
Safari und Mail bereits seit Oktober geschützt
Für die meisten Mac-Nutzer besteht nach Angaben von Apple kein zusätzlicher Handlungsbedarf.
Bereits seit dem 19. Oktober blockiert der Konzern die kompromittierten TLS-Zertifikate von eMudhra automatisch. Die Sperre gilt für Safari, Mail und andere Anwendungen, die Apples Netzwerk- und Sicherheitsframeworks verwenden.
Sie wurde plattformübergreifend umgesetzt und erforderte keine Installation eines Softwareupdates.
Damit sind insbesondere die üblichen Anwendungen für das Surfen im Internet und den E-Mail-Verkehr bereits gegen die Verwendung der betroffenen Zertifikate abgesichert.
Die mit macOS 27.3 eingeführte Änderung richtet sich vor allem gegen ein verbleibendes Risiko bei Programmen, die eine andere Zertifikatsverwaltung nutzen.
Schwache kryptografische Schlüssel bei eMudhra entdeckt
Hintergrund der Sicherheitsmaßnahme ist eine Entdeckung eines Sicherheitsforschers im Oktober. Dieser hatte festgestellt, dass private kryptografische Schlüssel zu acht Zwischenzertifikaten des indischen Zertifizierungsanbieters eMudhra unzureichend abgesichert waren.
Solche Zwischenzertifikate werden von Zertifizierungsstellen verwendet, um weitere digitale Zertifikate auszustellen und deren Vertrauenswürdigkeit innerhalb einer Zertifikatskette zu bestätigen.
Wenn die zugehörigen privaten Schlüssel kompromittiert werden, können Angreifer unter bestimmten Voraussetzungen Zertifikate erzeugen, die von betroffenen Systemen als gültig akzeptiert werden.
Dadurch könnte es möglich werden, sich gegenüber Nutzern als legitime Webseite auszugeben. Im ungünstigsten Fall könnten Angreifer auf diese Weise vertrauliche Informationen abgreifen oder verschlüsselte Verbindungen manipulieren.
Kein bekannter Missbrauch der betroffenen Schlüssel
Bislang gibt es keine öffentlich bekannten Hinweise darauf, dass die betroffenen Schlüssel tatsächlich für Angriffe missbraucht wurden.
Dennoch gilt die Schwachstelle als sicherheitsrelevant, da das Vertrauen in digitale Zertifikate eine wesentliche Grundlage für die Absicherung von Internetverbindungen bildet.
Apple reagierte zunächst mit einer automatischen Sperre innerhalb seiner Netzwerk- und Sicherheitsarchitektur. Mit der Entfernung der Zertifikate aus der lokalen Zertifikatsdatei wird diese Maßnahme nun auf weitere Anwendungen ausgeweitet.
Für die große Mehrheit der Mac-Nutzer ändert sich dadurch im Alltag wenig. Wer hingegen Kommandozeilenprogramme mit eigener Zertifikatsprüfung verwendet, sollte die kommenden macOS-Sicherheitsupdates zeitnah installieren.
