Apple blocca otto certificati web, ma i Mac potrebbero continuare a considerarli affidabili
Apple ha bloccato otto certificati web intermedi che i truffatori avrebbero potuto sfruttare per spacciarsi per siti legittimi. Un ingegnere crittografico avverte però che i Mac potrebbero continuare a fidarsi di quei certificati, perché macOS non verifica la revoca.
I certificati intermedi servono a dimostrare la proprietà di un sito. Se visiti apple.com, per esempio, Safari controlla che si tratti davvero del sito autentico. Un errore in uno script usato per generarli ha però prodotto chiavi private scopribili in modo banale, provando appena 256 numeri. Gli otto certificati compromessi, riconducibili all’autorità eMudhra, sono stati revocati e sono state adottate misure perché la falla non tocchi quelli futuri.
Secondo Bleeping Computer, Apple, Google e Mozilla li hanno bloccati nei rispettivi browser. Dennis Jackson, ingegnere crittografico di Mozilla, segnala però che i Mac potrebbero continuare a considerarli affidabili. Lo stesso vale per l’utility curl integrata in /usr/bin, il cui insieme di certificati non controlla le informazioni di revoca.
In sostanza, se il Mac ha già accettato uno di quei certificati, continuerà a farlo. Al momento non risultano utilizzi malevoli e Apple dovrebbe poter risolvere con un prossimo aggiornamento di sicurezza.
