macOS 27.2.1, curl'ün eMudhra'ya güvenmesini durduruyor. Mac uygulamanızda nelere bakmak gerekir

Çoğu Mac güncellemesini kurup unuturum. 9 Kasım tarihinde çıkan macOS 27.2.1 ise Mac uygulaması yapıyorsanız ince ayrıntılarını okumaya değer, çünkü her Mac'teki bazı araçların hangi sertifikalara güveneceğini değiştiriyor. Apple bunu eski Mac'ler için macOS Tahoe 26.7.3 ve Sequoia 15.8.3 ile birlikte yayımladı ve üçü de aynı değişikliği taşıyor.

İşte ne olduğu, kimleri etkilediği ve neyi test etmek gerektiği.

Ne oldu

• Sekiz ara sertifika otoritesi ele geçirildi. Apple'ın eMudhra destek sayfası, sekiz eMudhra ara CA'sının özel anahtarlarının ele geçirildiğini söylüyor. Bunlardan altısı web sitelerinin https için kullandığı sertifikaları veriyor. Bu anahtarlarla biri, herhangi bir site için geçerli görünen bir sertifika üretebilirdi. eMudhra ve Sectigo etkilenen sertifikaları iptal etti.
• Anahtarlar çok küçüktü. MacRumors, bir Mozilla incelemesinin anahtar değerlerini geri kazanmanın çok kolay olacağı kadar küçük bulduğunu bildiriyor. MacRumors ayrıca Ekim'de, anahtarların kullanıldığına dair kanıt olmadığını söylemişti.
• Apple bunları Ekim'de engelledi, ancak her yerde değil. 19 Ekim tarihinden itibaren Apple, bu sertifikaların bir kısmını (sayı: 12) Safari'de, Mail'de ve Apple'ın ağ ve güvenlik çerçevelerini kullanan uygulamalarda, güncelleme gerekmeden engelledi.
• Boşluk komut satırı araçlarındaydı. Apple'ın sayfası curl, git, python3, ruby, perl ve openssl'i sayıyor. Sertifikaları /etc/ssl/cert.pem dosyasına göre kontrol ediyorlar ve bu dosyadaki bir köke zincirlenen her şey için Apple'ın engelini atlıyorlar.
• 27.2.1 bunu kapatıyor. Komut satırı araçları bu sertifikaları artık kabul etmiyor ve /etc/ssl/cert.pem dosyasından beş kök kaldırılıyor: emSign ECC Root CA - G3, AAA Certificate Services, emSign Root CA - G1, emSign Root CA - C1 ve emSign ECC Root CA - C3. Apple'ın sayfası 26.7.3 ve 15.8.3 sürümlerinin aynı korumayı içerdiğini söylüyor.

Aynı güncellemeler, MacRumors'a göre Mesajlar, AirPlay ve Bluetooth'taki sekiz başka güvenlik hatasını da düzeltiyor. Apple bunlardan herhangi birinin saldırılarda kullanıldığını söylemedi.

Bir Mac uygulaması geliştiricisi neden önemsemeli

Uygulamanız URLSession ile internete bağlanan sıradan bir Swift uygulamasıysa, büyük olasılıkla Ekim'de kapsanmıştı. Apple'ın sayfası, ağ ve güvenlik çerçevelerini kullanan uygulamalardan söz ediyor ve Michael Tsai'nin alıntıladığı Howard Oakley, Apple'ın standart API'leri üzerine kurulu uygulamaların macOS güven deposunu kullandığını söylüyor.

Kapsanmayan uygulamalar, birçok bağımsız geliştiricinin yayımladığı türden:

• Arka planda curl, git veya python3 çalıştıran uygulamalar. İndirme yardımcıları, kurulum betikleri, yerel yapay zeka uygulamaları için model indiriciler, git'i saran geliştirici araçları.
• Kendi güvenilir kök listesi olan uygulamalar. Oakley, Chrome ve diğer Chromium tarayıcılarını, Mozilla ve Microsoft ürünlerini ve bazı Electron uygulamalarını sayıyor. Ayrıca Python, Java ve Go'nun, belki de Rust veya Ruby'nin etkilenebileceğini söylüyor. Apple'ın sayfası, kendi kök listesi olan araçların Apple'ın engelini ya da /etc/ssl/cert.pem dosyasını hiç kullanmadığını söylüyor.

Yani Ekim düzeltmesi uygulamanıza ulaşmamış olabilir, uygulama kendi köklerini getiriyorsa Kasım düzeltmesi de ulaşmayabilir.

İkinci bir yüzü de var. AAA Certificate Services, pek çok sıradan sertifikayı imzalamış eski bir Sectigo köküdür. Apple'ın sayfası, yalnızca /etc/ssl/cert.pem kullanan araçların, zincirleri kaldırılan köklerden geçen bazı siteleri doğrulayamayabileceği konusunda uyarıyor. İndirme sunucunuz, güncelleme akışınız veya lisans API'niz bunlardan biriyse, güncellenmiş bir Mac'te curl onu reddetmeye başlayabilir.

Bu hafta neyi kontrol ederdim

Bunlar Apple'ın değil, benim kendi adımlarım.

1. Bir Mac'i 27.2.1'e güncelleyin ve indirmeleri komut satırından test edin. Kurulum betiğinizi, cask'iniz varsa brew install komutunuzu ve indirme, appcast ve lisans adreslerinize karşı curl -I komutunu çalıştırın. Reddedilen bir sertifika yavaş bir sayfa olarak değil, hata olarak görünür.
2. Kendi sertifika zincirinize bakın. openssl s_client -connect yourapp.com:443 -showcerts komutunu çalıştırın ve issuer satırlarını okuyun. eMudhra, emSign veya AAA Certificate Services görürseniz, barındırma sağlayıcınızdan veya sertifika satıcınızdan başka bir kökte biten bir zincir isteyin.
3. Uygulamanızın gerçekte kullandığı güven deposunu bulun. Electron, Go, gömülü köklerle Rust, certifi'li Python ve Java kendi güven depolarını getirir. Çalışma zamanını veya kök paketini kötü sertifikaları çıkaran bir sürüme güncelleyin ve bunu sürüm notlarınıza yazın.
4. Hazır bir destek yanıtınız olsun. Eski bir Mac'teki biri güncellemeleri yükleyemiyorsa, Apple'ın sayfasında kökleri elle kaldırma adımları var. Bir e-postaya sudo kullanan komutları yapıştırmak yerine Apple'ın sayfasına bağlantı vermek daha iyi olur.
5. İnsanlara güncellemelerini söyleyin. Uygulamanızın kullanıcıları teknik ağırlıklıysa, bir sonraki sürümünüzde veya bültende kısa bir not hiçbir şeye mal olmaz.
6. Dosyayı bir test Mac'inde kontrol edin. Apple'ın sayfası aşağıdaki komutu veriyor; iki önemli kök sertifika kaldırıldığında hiçbir şey yazdırmaz.

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services'

Ne yapmazdım

Bir hatadan kurtulmak için bir betikte sertifika kontrollerini kapatmazdım. Tüm bu değişikliğin karşı koruduğu tek şey bu. Kullanıcılara Mac'lerinin hacklendiğini de söylemezdim. Anahtarların kullanıldığına dair bir işaret yok ve çoğu uygulama Ekim'de zaten korunuyordu.

MacPip açısı

MacPip, bir uygulamanın hangi sertifikalara güvendiğini kontrol etmez. Kayıtlar gönderildiklerinde otomatik olarak taranır ve mavi tik yalnızca bir kişinin uygulamayı bir tarihte denediği anlamına gelir. Bir geliştirici aracı veya güvenlik ve gizlilik uygulaması yapıyorsanız, bundan etkilenen bir betiğe ya da gömülü çalışma zamanına sahip olma olasılığınız en yüksek olanlardan biri, bu yüzden bir saatinizi ayırmaya değer.

Bugün yeni: gizlilik manifestosu denetleyicisi. PrivacyInfo.xcprivacy dosyanızı yapıştırın; her veri türünü, amacı ve CA92.1 gibi her gerekli neden kodunu Apple'ın kendi listelerine göre kontrol eder. Ayrıca Apple'ın Mac'te neleri istediğini ve neleri istemediğini de söyler. Sayfada çalışır ve hiçbir şey gönderilmez. Info.plist açıklaması ve notarization açıklaması hemen yanında. Mac uygulamanız henüz MacPip'te değilse, listelemek ücretsiz.

Kaynaklar

• Apple Destek: eMudhra sertifika otoritesinin ele geçirilmesi hakkında (9 Kasım 2026 tarihinde yayımlandı)
• Apple Destek: Apple güvenlik sürümleri
• MacRumors: macOS 27.2.1, Komut Satırı Araçlarındaki eMudhra Sertifika Açığını Düzeltiyor
• MacRumors: Apple, ele geçirilen eMudhra sertifikalarını engelliyor (25 Ekim 2026)
• MacRumors: Apple'ın iOS 27.2.1 ve macOS 27.2.1'de Düzelttikleri
• Michael Tsai: eMudhra Ara CA'nın Ele Geçirilmesi

Okumaya devam edin

• Claude Fable 5.2 and Mythos 5.2: what's new, the benchmarks, and what it means for your MacClaude Fable 5.2 and Mythos 5.2 came out on November 9, 2026. Anthropic's benchmarks as charts, the prices, what changes on a Mac, and four free tools.
• Live Activities Mac menü çubuğuna geliyor. Mac uygulamamla ne yapardımmacOS 27.3 beta, Live Activities'i Apple silicon Mac'lerin menü çubuğuna getiriyor ve Mac uygulamaları kendi etkinliklerini başlatabiliyor. Ne değişti, sınırlar neler ve önce ne denenmeli.
• Bellek Mac'leri pahalılaştırıyor. Mac uygulamamla ilgili ben ne yapardımApple, belleğin 2027 boyunca Mac'leri kıt ve pahalı tutacağını söylüyor; en ucuz Mac'te 8 GB var. Bunun Mac uygulamanız için neden önemli olduğu ve bu hafta yapılacak kontroller.
• Apple artık abonelikten çıkan kişilerle konuşmanıza izin veriyor. Mac uygulamamla ben ne yapardım4 Kasım tarihinden beri App Store abonelikleri, biri iptal ederken bir mesaj ya da teklif gösterebiliyor. Kurallar, Apple'ın söyledikleri ve Mac'te nelerin kontrol edileceği.
• Apple iki yaş derecelendirme sorusu ekliyor. Mac uygulamamda ben ne yapardım16 Kasım tarihinden itibaren App Store Connect konum paylaşımı ve flört özellikleri hakkında soru soruyor ve her uygulamanın 12 Ocak 2027 tarihine kadar yanıt vermesi gerekiyor. Ne değişti ve ne yapmalı.
• Siri AI artık her geliştiriciye açık. Mac uygulamamla ben bunu yapardımApple, macOS 27.3 betasında Siri AI'ı tüm geliştiricilere açtı. Ne değişti, şimdilik nelerin yayımlanıp yayımlanamayacağı ve küçük bir Mac uygulaması için kısa bir plan.
• Dokunmatik ekranlı Mac'ler 6 Kasım satışa çıkıyor. Kendi Mac uygulamamda şunlara bakardımApple'ın ilk dokunmatik Mac'leri 6 Kasım çıkıyor. Neler değişti, Apple geliştiricilere ne yapmalarını söylüyor ve kendi Mac uygulamanızda deneyebileceğiniz kısa bir liste.
• MacPip ile tanışınMacPip nedir, neden yaptım, listeleme ve lansman günü nasıl işler, mavi onay gerçekte ne anlama gelir ve ilk günlerinden gerçek sayılar.
• Mac uygulaması nasıl lansman yapılır: tek sayfaya sığan bir kontrol listesiMac uygulaması için lansman gününden önce, lansman gününde ve sonrasında ne yapılacağı: imzalama, sayfanız, dizinler, Product Hunt, Show HN ve neyin ölçüleceği.
• Mac uygulamanızın ne yaptığını anlatan tek satırlık bir açıklama nasıl yazılırMac uygulamanızın adının altındaki tek satırı yazmanın sade bir yolu: işi adlandırın, abartıyı kesin ve uygulamayı hiç görmemiş birinde deneyin.
• İmzalama ve notarizasyon, sade bir dille, ilk Mac uygulamasını yapanlar içinKod imzalama, notarizasyon ve stapling'in her birinin ne yaptığı, hangi sırayla yapıldığı, bunlar olmadan kullanıcılarınızın ne gördüğü ve kendi derlemenizi nasıl kontrol edeceğiniz.
• Bir dofollow bağlantının gerçekte ne değeri olduğu, bunu sunan bir sitedendofollow'un ne anlama geldiği, Google'ın bağlantılar hakkında ne dediği, yeni bir dizinden gelen bir bağlantının bugün neden çok az değer taşıdığı ve bağlantı satın almak yerine ne yapılacağı.

Uygulamanızı gönderinYapımcılar için ücretsiz araçlar