macOS 27.2.1 nustoja leisti curl pasitikėti eMudhra. Ką verta patikrinti savo Mac programoje

Daugumą Mac atnaujinimų įdiegiu ir pamirštu. macOS 27.2.1, išleistą lapkričio 9 d., verta perskaityti atidžiai, jei kuri Mac programą, nes ji keičia, kuriais sertifikatais pasitiki kai kurie kiekvieno Mac įrankiai. Apple ją išleido kartu su macOS Tahoe 26.7.3 ir Sequoia 15.8.3 senesniems Mac, ir visose trijose yra tas pats pakeitimas.

Štai kas nutiko, ką tai liečia ir ką verta išbandyti.

Kas nutiko

• Buvo kompromituoti aštuoni tarpiniai sertifikavimo centrai. Apple palaikymo puslapyje apie eMudhra sakoma, kad aštuonių eMudhra tarpinių sertifikavimo centrų privatieji raktai buvo kompromituoti. Šeši iš jų išduoda sertifikatus, kuriuos svetainės naudoja https. Turėdamas tuos raktus, kas nors galėjo sukurti sertifikatą, kuris atrodo galiojantis bet kuriai svetainei. eMudhra ir Sectigo atšaukė paveiktus sertifikatus.
• Raktai buvo maži. MacRumors praneša, kad Mozilla tyrimas parodė tokias mažas raktų reikšmes, kad jas buvo lengva atkurti. MacRumors taip pat spalį rašė, kad įrodymų, jog raktai buvo panaudoti, nėra.
• Apple juos užblokavo spalį, bet ne visur. Nuo spalio 19 d. Apple blokavo dalį šių sertifikatų (skaičius: 12) Safari, Mail ir programose, naudojančiose Apple tinklo ir saugumo sistemas, be jokio atnaujinimo.
• Spraga buvo komandų eilutės įrankiuose. Apple puslapyje minimi curl, git, python3, ruby, perl ir openssl. Jie tikrina sertifikatus pagal failą /etc/ssl/cert.pem ir viskam, kas jungiasi su šio failo šakniniu sertifikatu, Apple blokavimo netaiko.
• 27.2.1 tai uždaro. Komandų eilutės įrankiai nebepriima šių sertifikatų, o penki šakniniai sertifikatai pašalinami iš /etc/ssl/cert.pem: emSign ECC Root CA - G3, AAA Certificate Services, emSign Root CA - G1, emSign Root CA - C1 ir emSign ECC Root CA - C3. Apple puslapyje sakoma, kad 26.7.3 ir 15.8.3 turi tą pačią apsaugą.

Tie patys atnaujinimai taiso dar aštuonias saugumo klaidas Messages, AirPlay ir Bluetooth, pasak MacRumors. Apple nepasakė, kad kuri nors buvo naudota atakose.

Kodėl Mac programų kūrėjui tai turėtų rūpėti

Jei tavo programa yra įprasta Swift programa, kuri jungiasi prie interneto per URLSession, ją greičiausiai apėmė spalio pataisa. Apple puslapyje kalbama apie programas, naudojančias jos tinklo ir saugumo sistemas, o Howard Oakley, kurį cituoja Michael Tsai, sako, kad programos, sukurtos su standartiniais Apple API, naudoja macOS patikimų sertifikatų saugyklą.

Neapimtos programos yra tokios, kurias išleidžia daug nepriklausomų kūrėjų:

• Programos, kurios viduje paleidžia curl, git ar python3. Atsisiuntimo pagalbininkai, diegimo scenarijai, modelių atsisiuntimo įrankiai vietinėms DI programoms, kūrėjų įrankiai, apgaubiantys git.
• Programos su savo patikimų šakninių sertifikatų sąrašu. Oakley mini Chrome ir kitas Chromium naršykles, Mozilla ir Microsoft produktus bei kai kurias Electron programas. Jis taip pat sako, kad gali būti paveikti Python, Java ir Go, o gal ir Rust ar Ruby. Apple puslapyje sakoma, kad įrankiai su savo šakninių sertifikatų sąrašu išvis nenaudoja jos blokavimo ar /etc/ssl/cert.pem.

Taigi spalio pataisa galėjo nepasiekti tavo programos, o lapkričio gali nepasiekti irgi, jei ji atsiveža savo šakninius sertifikatus.

Yra ir antra pusė. AAA Certificate Services yra senas Sectigo šakninis sertifikatas, pasirašęs daugybę paprastų sertifikatų. Apple puslapyje įspėjama, kad įrankiai, naudojantys tik /etc/ssl/cert.pem, gali nepatikrinti kai kurių svetainių, kurių grandinės eina per pašalintus šakninius sertifikatus. Jei tavo atsisiuntimo serveris, atnaujinimų šaltinis ar licencijų API pasitaiko tarp jų, curl atnaujintame Mac gali pradėti jį atmesti.

Ką patikrinčiau šią savaitę

Tai mano paties žingsniai, ne Apple.

1. Atnaujink vieną Mac iki 27.2.1 ir išbandyk atsisiuntimus iš komandų eilutės. Paleisk savo diegimo scenarijų, brew install, jei turi cask, ir curl -I prieš savo atsisiuntimo, appcast ir licencijų adresus. Atmestas sertifikatas rodomas kaip klaida, o ne kaip lėtas puslapis.
2. Pažiūrėk į savo sertifikatų grandinę. Paleisk openssl s_client -connect yourapp.com:443 -showcerts ir perskaityk eilutes su išdavėju (issuer). Jei matai eMudhra, emSign ar AAA Certificate Services, paprašyk savo prieglobos teikėjo ar sertifikatų pardavėjo grandinės, kuri baigiasi kitu šakniniu sertifikatu.
3. Išsiaiškink, kokią patikimų sertifikatų saugyklą tavo programa iš tikrųjų naudoja. Electron, Go, Rust su įtrauktais šakniniais sertifikatais, Python su certifi ir Java visi atsiveža savus. Atnaujink vykdymo aplinką ar šakninių sertifikatų paketą iki versijos, kuri pašalina blogus sertifikatus, ir paminėk tai laidos pastabose.
4. Turėk paruoštą atsakymą palaikymui. Jei kas nors su senesniu Mac negali įdiegti atnaujinimų, Apple puslapyje yra žingsniai, kaip šakninius sertifikatus pašalinti rankiniu būdu. Geriau duoti nuorodą į Apple puslapį, nei įklijuoti į el. laišką komandas su sudo.
5. Paskatink žmones atnaujinti. Jei tavo programos naudotojai gana techniški, trumpa pastaba kitoje laidoje ar naujienlaiškyje nieko nekainuoja.
6. Patikrink failą bandomajame Mac. Apple puslapyje pateikta žemiau esanti komanda, kuri nieko neišveda, kai abu pagrindiniai šakniniai sertifikatai pašalinti.

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services'

Ko nedaryčiau

Neverta išjungti sertifikatų tikrinimo scenarijuje, kad dingtų klaida. Būtent nuo to ir saugo visas šis pakeitimas. Taip pat neverta sakyti naudotojams, kad jų Mac buvo nulaužtas. Nėra požymių, kad raktai buvo panaudoti, o dauguma programų buvo apsaugotos jau spalį.

MacPip kampas

MacPip netikrina, kuriais sertifikatais programa pasitiki. Įrašai nuskaitomi automatiškai, kai pateikiami, o mėlyna varnelė reiškia tik tai, kad žmogus tam tikrą dieną išbandė programą. Jei kuri kūrėjo įrankį ar saugumo ir privatumo programą, tau labiausiai tikėtina turėti scenarijų ar įtrauktą vykdymo aplinką, kurią tai paliečia, todėl verta skirti valandą.

Naujiena šiandien: privatumo manifesto tikrintuvas. Įklijuok savo PrivacyInfo.xcprivacy, ir jis patikrins kiekvieną duomenų tipą, paskirtį ir privalomos priežasties kodą, pavyzdžiui, CA92.1, pagal pačios Apple sąrašus. Jis taip pat parodo, ko Apple prašo Mac, o ko ne. Veikia puslapyje ir nieko nesiunčia. Info.plist paaiškinimas ir notarizavimo paaiškinimas yra šalia. O jei tavo Mac programos dar nėra MacPip, įtraukti ją nemokama.

Šaltiniai

• Apple palaikymas: apie eMudhra sertifikavimo centro kompromitavimą (paskelbta 2026 m. lapkričio 9 d.)
• Apple palaikymas: Apple saugumo laidos
• MacRumors: macOS 27.2.1 taiso eMudhra sertifikatų spragą komandų eilutės įrankiuose
• MacRumors: Apple blokuoja kompromituotus eMudhra sertifikatus (2026 m. spalio 25 d.)
• MacRumors: ką Apple pataisė iOS 27.2.1 ir macOS 27.2.1
• Michael Tsai: eMudhra tarpinio sertifikavimo centro kompromitavimas

Skaityk toliau

• Claude Fable 5.2 and Mythos 5.2: what's new, the benchmarks, and what it means for your MacClaude Fable 5.2 and Mythos 5.2 came out on November 9, 2026. Anthropic's benchmarks as charts, the prices, what changes on a Mac, and four free tools.
• Live Activities atkeliauja į Mac meniu juostą. Ką daryčiau su savo Mac programamacOS 27.3 beta Live Activities perkelia į Apple silicon Mac kompiuterių meniu juostą, o Mac programos gali paleisti savo. Kas pasikeitė, kokios ribos ir ką išbandyti pirmiausia.
• Atmintis brangina Mac kompiuterius. Štai ką daryčiau su savo Mac programaApple sako, kad dėl atminties Mac kompiuterių bus mažiau ir jie bus brangesni iki 2027 m., o pigiausias Mac turi 8 GB. Kodėl tai svarbu tavo Mac programai ir ką patikrinti šią savaitę.
• Apple dabar leidžia kalbėtis su žmonėmis, kurie atsisako prenumeratos. Štai ką daryčiau su savo Mac programaNuo lapkričio 4 d. App Store prenumeratos gali parodyti žinutę ar pasiūlymą, kai kas nors atsisako. Taisyklės, ką sako Apple ir ką patikrinti Mac sistemoje.
• Apple prideda du amžiaus reitingo klausimus. Štai ką darytų su savo Mac programaNuo lapkričio 16 d. App Store Connect klausia apie dalijimąsi vieta ir pažinčių funkcijas, o atsakyti turi kiekviena programa iki 2027 m. sausio 12 d.. Kas pasikeitė ir ką daryti.
• Siri AI dabar atvira kiekvienam programuotojui. Štai ką daryčiau su savo Mac programaApple atvėrė Siri AI visiems programuotojams macOS 27.3 beta versijoje. Kas pasikeitė, ką jau galima išleisti ir ko dar ne, ir trumpas planas nedidelei Mac programai.
• Jutikliniai Mac kompiuteriai pradedami pardavinėti lapkričio 6 d.. Štai ką patikrinčiau savo Mac programojePirmieji Apple jutikliniai Mac kompiuteriai pasirodo lapkričio 6 d.. Kas pasikeitė, ką Apple liepia daryti kūrėjams ir trumpas sąrašas dalykų, kuriuos verta išbandyti savo Mac programoje.
• Pristatome MacPipKas yra MacPip, kodėl jį sukūriau, kaip veikia įrašai ir pristatymo diena, ką iš tikrųjų reiškia mėlyna varnelė ir tikri skaičiai iš pirmųjų dienų.
• Kaip pristatyti Mac programą: kontrolinis sąrašas, telpantis viename puslapyjeKą daryti prieš pristatymo dieną, pristatymo dieną ir po jos Mac programai: parašas, tavo puslapis, katalogai, Product Hunt, Show HN ir ką matuoti.
• Kaip parašyti vienos eilutės aprašymą, kuris nurodo, ką daro tavo Mac programaPaprastas būdas parašyti vieną eilutę po tavo Mac programos pavadinimu: nurodyk paskirtį, atmesk perdėjimus ir patikrink ją su žmogumi, kuris programos nėra matęs.
• Parašas ir notarizacija paprastais žodžiais, skirti tiems, kurie kuria pirmą Mac programąKą daro kodo parašas, notarizacija ir stapling, kokia tvarka, ką tavo naudotojai mato be jų ir kaip patikrinti savo kompiliaciją.
• Kiek iš tiesų verta dofollow nuoroda, iš svetainės, kuri ją siūloKą reiškia dofollow, ką Google sako apie nuorodas, kodėl nuoroda iš naujo katalogo šiandien mažai verta ir ką daryti vietoj nuorodų pirkimo.

Pateik savo programąNemokami įrankiai kūrėjams