macOS güncellemesi sertifika açığını kapattı: curl ve git artık korumalı

Apple’ın 9 Kasım’da yayınladığı macOS 27.2.1, 26.7.3 ve 15.8.3 güncellemeleri, Hindistanlı sertifika şirketi eMudhra’nın ele geçirilen sertifikalarından kaynaklanan güvenlik boşluğunu tamamen kapattı. Güncellemeyle curl ve git gibi komut satırı araçları da bu sertifikaları artık kabul etmiyor.

Sorun ekimde ortaya çıkmıştı. Mozilla, eMudhra’nın işlettiği sekiz ara sertifika otoritesinin özel anahtarlarının ele geçirildiğini bildirdi. Bu anahtarlar, bir sitenin gerçekten o site olduğunu doğrulayan sertifikaları imzalamakta kullanılıyor. Anahtarı eline geçiren biri sahte ama gerçek görünen sertifika üretip bir siteyi taklit edebilir, kullanıcının gönderdiği bilgileri yolda okuyabilir.

Bunu da okuyun: Apple Store çalışanlarına izinsiz abonelik iddiası: Apple’ın kuralı değiştirdiği aktarılıyor

Ekimdeki önlem neden yetmedi?

Apple, etkilenen sertifikaları 19 Ekim’de, ek korumaları da 23 Ekim’de otomatik yapılandırma güncellemesiyle engellemişti. Bu adım Safari, Mail ve Apple’ın ağ altyapısını kullanan uygulamaları korudu, kullanıcının bir şey yapmasına gerek kalmadı. Ancak curl ve git gibi bazı terminal araçları sertifikaları kabul etmeye devam ediyordu. Apple o dönem yöneticilere elle düzeltme talimatı vermiş, kalıcı çözümün güncellemeyle geleceğini söylemişti.

Yeni sürümler, /etc/ssl/cert.pem dosyasından beş kök sertifikayı da çıkarıyor; bunların üçü, elle düzeltme talimatında yer almayan eMudhra sertifikaları.

Ne yapmalı?

Mac’inizi Sistem Ayarları’ndaki Genel > Yazılım Güncelleme bölümünden güncellemeniz yeterli. Güncelleyemeyenler için Apple, etkilenen 12 sertifikanın ve kaldırılan 5 kök sertifikanın adlarını ve parmak izlerini destek sayfasında yayımlamaya devam ediyor. Apple, bazı uygulamaların kendi sertifika listesini taşıdığını, bunlar için uygulamanın geliştiricisine başvurulması gerektiğini de hatırlatıyor. Aynı gün iPhone’lar için de iOS 27.2.1 güvenlik güncellemesi yayınlanmıştı.