اپل اعلام کرده است هشت گواهی امنیتی وب (Web Security Certificates) را مسدود کرده که ممکن بود کلاهبرداران از آن‌ها برای جعل هویت وب‌سایت‌های معتبر استفاده کنند. با این حال، یک مهندس رمزنگاری هشدار داده است که رایانه‌های مک (Mac) ممکن است همچنان به گواهی‌های مخدوش اعتماد کنند، زیرا macOS وضعیت ابطال (Revocation) آن‌ها را بررسی نمی‌کند.
ماجرای گواهی‌های میانی چیست؟
این مسئله به گواهی‌های میانی (Intermediate Certificates) مربوط می‌شود؛ گواهی‌هایی که برای اثبات مالکیت یک وب‌سایت به کار می‌روند. برای نمونه، وقتی کاربری به apple.com مراجعه می‌کند، مرورگر Safari بررسی می‌کند که او در حال بازدید از سایت واقعی است. اما خطایی در اسکریپتی (Script) که برای تولید این گواهی‌ها استفاده شده بود، باعث شد چند کلید خصوصی (Private Key) با آزمودن تنها ۲۵۶ عدد ممکن قابل کشف شوند.
مسدودسازی در مرورگرها و هشدار برای macOS
هشت گواهی مخدوش اکنون باطل شده‌اند و اقداماتی انجام شده تا این آسیب‌پذیری گواهی‌های آینده را تحت تأثیر قرار ندهد. بر اساس گزارش Bleeping Computer، اپل، گوگل و موزیلا هر یک گواهی‌های مخدوش را در مرورگرهای وب خود مسدود کرده‌اند. با این حال، دنیس جکسون (Dennis Jackson)، مهندس رمزنگاری موزیلا، هشدار می‌دهد که مک‌ها ممکن است همچنان به آن‌ها اعتماد کنند.
جکسون همچنین هشدار می‌دهد که ابزار داخلی /usr/bin/curl در macOS ممکن است همچنان به گواهی‌های مخدوش اعتماد کند، زیرا بسته گواهی (Certificate Bundle) آن اطلاعات مربوط به ابطال را بررسی نمی‌کند. به بیان دیگر، اگر مک شما پیش‌تر یکی از این گواهی‌ها را پذیرفته باشد، همچنان آن را می‌پذیرد.
وضعیت فعلی و چشم‌انداز رفع مشکل
در حال حاضر هیچ شواهدی از استفاده از این گواهی‌ها در محیط واقعی (In the Wild) وجود ندارد و انتظار می‌رود اپل بتواند این مشکل را در یک به‌روزرسانی امنیتی (Security Update) آینده برطرف کند.