Apple ออกอัปเดต macOS แก้ช่องโหว่ที่เกี่ยวกับใบรับรอง eMudhra
Apple ปิดช่องโหว่ที่ยังคงเปิดอยู่ในเครื่องมือบรรทัดคำสั่งบางตัว หลังจากเคยบล็อกใบรับรองที่เกี่ยวข้องไว้ใน Safari และ Mail ไปแล้วก่อนหน้านี้
Apple ปล่อยอัปเดต macOS ชุดใหม่เพื่ออุดช่องโหว่ด้านความปลอดภัยที่เกี่ยวข้องกับใบรับรองของ eMudhra หลังจากก่อนหน้านี้บริษัทเริ่มบล็อกใบรับรองชุดนี้ใน Safari, Mail และแอปอื่น ๆ ไปตั้งแต่เดือนตุลาคม การแก้ไขรอบล่าสุดมีความสำคัญเพราะครอบคลุมส่วนที่ยังเหลืออยู่ของระบบ ซึ่งก่อนหน้านี้ยังต้องให้ผู้ดูแลระบบไปจัดการเองด้วยตนเอง
ที่มาของปัญหาเริ่มจากรายงานของ Mozilla ว่ากุญแจส่วนตัวของ intermediate certificate authorities 8 รายการที่ eMudhra บริษัทออกใบรับรองดิจิทัลจากอินเดียดูแลอยู่นั้นถูกเจาะข้อมูล ใบรับรองลักษณะนี้ใช้สร้างความน่าเชื่อถือให้กับใบรับรองดิจิทัลที่ยืนยันตัวตนเว็บไซต์และช่วยให้การเชื่อมต่อปลอดภัย หากผู้ไม่หวังดีเข้าถึง private key เหล่านี้ได้ ก็อาจสร้างใบรับรองปลอมที่ดูเหมือนถูกต้อง เพื่อปลอมเป็นเว็บไซต์จริงและดักข้อมูลสำคัญของผู้ใช้ได้
Apple ระบุว่าได้เริ่มบล็อกใบรับรองที่ได้รับผลกระทบโดยอัตโนมัติเมื่อวันที่ 19 ตุลาคม และเพิ่มมาตรการป้องกันอีกครั้งในวันที่ 23 ตุลาคม โดยการอัปเดตดังกล่าวส่งผ่าน automatic certificate configuration updates ทำให้ผู้ใช้ไม่จำเป็นต้องติดตั้ง macOS เวอร์ชันใหม่เพื่อรับการป้องกันใน Safari หรือบริการที่ใช้ frameworks ด้านเครือข่ายและความปลอดภัยของ Apple แต่ในตอนนั้นยังไม่ครอบคลุมทุกส่วนของ macOS โดยเครื่องมือบรรทัดคำสั่งบางตัว เช่น curl และ git ยังอาจยอมรับใบรับรองที่ถูกเจาะได้อยู่
วันนี้ Apple ยืนยันว่าได้แก้ส่วนที่ยังเหลืออยู่แล้วใน macOS 27.2.1, macOS 26.7.3 และ macOS 15.8.3 ที่ปล่อยออกมา ทำให้เครื่องมือบรรทัดคำสั่งเหล่านี้ไม่ยอมรับใบรับรองที่ถูกกระทบอีกต่อไป และไม่ต้องอาศัยการแก้แบบ manual สำหรับผู้ดูแลระบบเหมือนก่อนหน้านี้ นอกจากนี้ Apple ยังลบ root CA certificates 5 รายการออกจาก /etc/ssl/cert.pem ซึ่งรวมถึง eMudhra อีก 3 รายการที่ไม่ได้อยู่ในวิธีแก้ชั่วคราวเดิมของบริษัท
สำหรับผู้ที่ยังอัปเดตไม่ได้ Apple ยังคงมีคำแนะนำในเอกสารซัพพอร์ตสำหรับการแก้ปัญหาด้วยตัวเอง พร้อมระบุชื่อและ SHA-256 fingerprints ของใบรับรองที่ได้รับผลกระทบ 12 รายการ และ root CA certificates 5 รายการที่ถูกลบออกจากอัปเดตครั้งนี้ Apple ยังเตือนด้วยว่าแอปและเครื่องมือบางตัวมีรายการ root CA certificates ของตัวเอง และไม่ได้ใช้รายการบล็อกของ Apple หรือ /etc/ssl/cert.pem จึงควรติดต่อผู้พัฒนาแอปหรือเครื่องมือเหล่านั้นโดยตรง
