We❤️Apple svarer kort: Apple har blokeret otte kompromitterede webcertifikater, som kunne have været misbrugt til at udgive sig for rigtige websites. Risikoen ser dog ikke ud til at være helt lukket på Mac endnu, fordi en Mozilla-ingeniør advarer om, at macOS fortsat kan stole på certifikaterne, selv efter at de er tilbagekaldt.
Sagen handler om såkaldte intermediate-certifikater. De bruges i den kæde af tillid, der skal bevise, at et website faktisk er det website, det udgiver sig for at være. Når du besøger et domæne som apple.com, er det netop den type kontrol, der hjælper Safari med at afgøre, om forbindelsen er legitim.
Problemet opstod, fordi en fejl i et script til at generere certifikater gjorde en række private nøgler alt for lette at finde. 9to5Mac beskriver, at det i praksis kunne gøres ved at afprøve blot 256 mulige tal. De otte berørte certifikater er nu tilbagekaldt, og der er også taget skridt, som skal forhindre, at samme sårbarhed rammer fremtidige certifikater.
Usikkerheden ligger på Mac-siden. Dennis Jackson, der arbejder med kryptografi hos Mozilla, advarer om, at Macs stadig kan komme til at stole på de kompromitterede certifikater, fordi macOS ikke kontrollerer tilbagekaldelse i denne sammenhæng. Han peger også særskilt på macOS-værktøjet /usr/bin/curl, hvis certifikatbundt ifølge advarslen heller ikke tjekker tilbagekaldelsesinformation.
For Apple-brugere er den praktiske konsekvens heldigvis mere afmålt end dramatisk lige nu. Der er ingen dokumentation for, at certifikaterne faktisk er blevet misbrugt i virkeligheden. Samtidig lyder vurderingen, at Apple sandsynligvis vil kunne rette resten af problemet i en kommende sikkerhedsopdatering, men der er endnu ikke beskrevet en officiel løsning eller en dato.
Det skal du holde øje med
Hvis du bruger Mac, er den mest konkrete handling at holde macOS fuldt opdateret, når Apple udsender næste sikkerhedsrettelse. Historien er derfor ikke et tegn på et kendt aktivt angreb mod almindelige Apple-brugere nu og her, men på et hul i tillidskæden, som endnu ikke ser helt færdiglukket ud på Mac.
