Plus tôt ce mois-ci, un chercheur en sécurité a découvert que les clés cryptographiques privées associées à huit certificats d’autorité de certification (CA) intermédiaire de la société indienne eMudhra étaient faibles. Les clés compromises auraient pu permettre à des attaquants d’usurper l’identité de sites Web légitimes, mettant potentiellement en danger les informations sensibles des utilisateurs. Cependant, il n’existe actuellement aucune preuve que les clés aient été exploitées de manière malveillante.
Les certificats d’eMudhra étaient largement approuvés par tous les principaux navigateurs Web, notamment Safari, Chrome, Edge et Firefox, mais Apple et les autres sociétés à l’origine de ces navigateurs ont depuis pris des mesures pour protéger les utilisateurs.
Dans un document d’assistance, Apple a déclaré qu’il bloquait les certificats Web TLS compromis d’eMudhra depuis le 19 octobre dans Safari, Mail et les applications qui utilisent les cadres de réseau et de sécurité d’Apple. Les certificats sont bloqués automatiquement sans aucune mise à jour logicielle requise, de sorte que la plupart des propriétaires d’appareils Apple n’ont besoin de prendre aucune mesure.
Il y a une exception. Apple a déclaré que ceux qui utilisent les outils de ligne de commande macOS, tels que les administrateurs système, doivent savoir que certains de ces outils peuvent toujours accepter les certificats compromis jusqu’à ce qu’Apple publie une mise à jour macOS avec un correctif. Entre-temps, Apple a déclaré que ceux qui utilisent des outils de ligne de commande peuvent supprimer les certificats racine de l’autorité de certification du fichier /etc/ssl/cert.pem.
Apple n’a pas fourni de date de sortie pour la mise à jour macOS qui inclura par défaut les modifications nécessaires au fichier /etc/ssl/cert.pem.
Pour plus de détails techniques, lisez le document d’assistance d’Apple.
