Sicherheitslücken: Apple sperrt unsichere Zertifikate

Derzeit machen Berichte über eine Schwachstelle bei der indischen Zertifizierungsstelle eMudhra die Runde. Aufgrund des Sicherheitsproblems lassen sich eigentlich vertrauenswürdige Zertifikate fälschen. Apple hat die betroffenen Zertifikate bereits gesperrt. Weitere Sicherheitskorrekturen sollen mit einem kommenden macOS-Update folgen.

Laut einer Stellungnahme von eMudhra liegt den Problemen ein Fehler bei der Erzeugung kryptografischer Schlüssel zugrunde. Diese waren zum Teil nicht ausreichend geschützt und konnten theoretisch rekonstruiert werden. Angreifer könnten damit gefälschte Zertifikate erstellen, um beispielsweise verschlüsselte Verbindungen abzufangen.

Last week, a security researcher reported that the private keys associated with eight of our emSign G3 intermediate TLS CAs were recoverable. They were right. The flaw was ours. A script error resulted in issuing CA’s with weak keys.
eMudhra Leadership Team

Die von Apple bereitgestellten Zertifikatssperren wurden bereits automatisch übernommen. Handlungsbedarf besteht derzeit lediglich für Nutzer bestimmter Kommandozeilentools auf dem Mac.

Apple-Sperren greifen nicht bei allen Anwendungen

Apple hat in der vergangenen Woche damit begonnen, die betroffenen Zertifikate zu sperren. Die Änderungen werden automatisch an Apple-Geräte verteilt. Safari, Mail und andere Anwendungen, die Apples Netzwerk- und Sicherheitsfunktionen verwenden, berücksichtigen die Sperren laut Apple bereits. Nutzer müssen dafür weder Einstellungen ändern noch Softwareupdates installieren.

Anders sieht es bei verschiedenen Werkzeugen aus, die insbesondere Entwickler und Systemadministratoren auf dem Mac verwenden. Programme wie curl, git, python3, ruby, perl und openssl können weiterhin betroffene Zertifikate akzeptieren, weil sie teilweise eine eigene Zertifikatsdatei verwenden und die von Apple verteilten Sperren nicht berücksichtigen.

Weitere Sicherheitskorrekturen angekündigt

Laut Apple soll das Problem mit einem kommenden macOS-Update vollständig behoben werden. Bis dahin können betroffene Nutzer die entsprechenden Stammzertifikate manuell entfernen. Apple hat hierfür eine Anleitung mit den erforderlichen Terminal-Befehlen veröffentlicht.

Apple weist allerdings darauf hin, dass das manuelle Entfernen der Zertifikate auch andere Verbindungen beeinträchtigen kann. Unter Umständen lassen sich anschließend bestimmte Webseiten nicht mehr erfolgreich überprüfen und aufrufen.