9to5Mac tarafından “Apple, dolandırıcıların kullanabileceği web sertifikalarını engelledi ancak Mac güvenlik açığı devam ediyor” başlığıyla aktarıldığı kadarıyla,
Apple, dolandırıcıların meşru internet sitelerini taklit etmek amacıyla kullanabileceği sekiz web güvenlik sertifikasını engelledi.
Ancak bir kriptografi mühendisi, macOS'un sertifika iptallerini kontrol etmemesi nedeniyle Mac bilgisayarların ele geçirilmiş sertifikalara güvenmeyi sürdürebileceği uyarısında bulundu.
Söz konusu sorun, "ara sertifika" olarak adlandırılan yapılarla ilgili. Bu sertifikalar bir internet sitesinin sahipliğini kanıtlamak için kullanılıyor; örneğin apple.com adresi ziyaret edildiğinde Safari, gerçek siteye bağlanıldığını bu yolla doğruluyor.
Ne var ki bu sertifikaları üretmekte kullanılan bir betikteki hata, yalnızca 256 olası sayının denenmesiyle kolayca tespit edilebilecek özel anahtarların ortaya çıkmasına yol açtı. Ele geçirilen sekiz sertifika iptal edildi ve açığın ileride verilecek sertifikaları etkilememesi için gerekli adımlar atıldı.
Sektör basınında yer alan haberlere göre Apple, Google ve Mozilla söz konusu sertifikaları kendi web tarayıcılarında engelledi. Ancak Mozilla bünyesinde görev yapan kriptografi mühendisi Dennis Jackson, Mac bilgisayarların bu sertifikalara güvenmeyi sürdürebileceği uyarısında bulunuyor.
Jackson ayrıca, macOS'un yerleşik /usr/bin/curl aracının da ele geçirilmiş sertifikalara güvenmeyi sürdürebileceğini belirtiyor; çünkü bu aracın sertifika paketi iptal bilgilerini kontrol etmiyor.
Başka bir deyişle, bir Mac cihaz söz konusu sertifikalardan birini daha önce kabul etmişse kabul etmeyi sürdürecek. Bununla birlikte sertifikaların gerçek saldırılarda kullanıldığına dair herhangi bir kanıt bulunmuyor ve Apple'ın bu durumu yaklaşan bir güvenlik güncellemesiyle gidermesi bekleniyor.
