Apple chặn chứng chỉ sau vụ rò rỉ khóa riêng CA trung gian của eMudhra, công bố cách khắc phục tạm thời cho curl và git

Chuyện gì đã xảy ra

eMudhra là công ty Ấn Độ cấp chứng chỉ số. Chứng chỉ số giống như giấy xác nhận rằng một trang web hoặc một tệp là thật. Một nhà nghiên cứu bảo mật phát hiện eMudhra đã tạo khóa mã hóa yếu cho tám chứng chỉ trung gian và công bố chúng ra công khai. Apple bắt đầu chặn các chứng chỉ bị ảnh hưởng vào ngày 19 tháng 10 năm 2026. Đến ngày 23 tháng 10, Apple thêm chứng chỉ gốc "emSign ECC Root CA - G3" vào danh sách chặn.

Các con số chính

• eMudhra có 8 cơ quan cấp chứng chỉ trung gian (CA).
• Apple chặn 12 chứng chỉ, liên kết với 6 CA trung gian cấp chứng chỉ TLS (loại chứng chỉ bảo vệ website).
• Các khóa yếu được tạo vào ngày 30 tháng 4 năm 2025. Vấn đề được phát hiện khoảng 18 tháng sau đó.
• Apple bắt đầu chặn vào ngày 19 tháng 10 năm 2026, và chứng chỉ gốc được thêm vào ngày 23 tháng 10.

Vì sao công cụ dòng lệnh vẫn gặp rủi ro

Các ứng dụng của Apple như Safari và Mail tự động chặn chứng chỉ xấu. Nhưng các công cụ dòng lệnh như curl, git, python3, ruby, perl và openssl lại đọc danh sách chứng chỉ tin cậy từ tệp /etc/ssl/cert.pem. Tệp này chưa được cập nhật, nên các công cụ vẫn tin các chứng chỉ xấu. Apple cho biết sẽ sửa lỗi này trong bản cập nhật sau.

Cách tạm thời bảo vệ máy

• Sao lưu tệp /etc/ssl/cert.pem trước tiên.
• Xóa chứng chỉ gốc "emSign ECC Root CA - G3" khỏi tệp.
• Tùy chọn: cũng xóa chứng chỉ gốc "AAA Certificate Services", vì Sectigo đã dùng nó để ký chéo sáu chứng chỉ bị ảnh hưởng.
• Dùng lệnh grep với openssl để kiểm tra rằng cả hai chứng chỉ gốc đã được xóa.
• Apple cho biết bản cập nhật phần mềm sẽ làm mới cert.pem. Hãy xem trang hỗ trợ chính thức của Apple để biết các bước mới nhất.

Vì sao điều này quan trọng

Chứng chỉ số là phần quan trọng của an toàn internet. Nếu khóa riêng của một cơ quan cấp chứng chỉ bị rò rỉ, kẻ tấn công có thể giả làm các website thật. Nhà phát triển và quản trị viên hệ thống dùng công cụ dòng lệnh cần hành động ngay, vì các công cụ này sẽ tiếp tục tin các chứng chỉ xấu cho đến khi bản cập nhật của Apple được phát hành.