eMudhra sertifikaları: Mac'inizde ne değişiyor?

eMudhra sertifikaları (sitelerin kimliğini doğrulayan dijital belgeler) macOS 27.3 beta 1 ile Terminal araçlarının kullandığı dosyadan da kaldırılıyor. Safari ve Mail kullanan sıradan bir Mac kullanıcısının ise bir şey yapması gerekmiyor.

MacRumors'ın haberine göre ilk macOS 27.3 geliştirici betası, etkilenen sertifikaları /etc/ssl/cert.pem dosyasından siliyor. Böylece curl ve git gibi komut satırı araçları bu sertifikalara artık güvenmiyor. Sitenin beklentisine göre macOS 27.3 aralıkta yayınlanacak. Aynı düzeltmenin daha önce macOS 27.2.1 ile gelmesi de olası.

eMudhra sertifikaları neden engellendi

Sorun ekim ayında ortaya çıktı. Hindistan merkezli eMudhra'nın işlettiği sekiz ara sertifika yetkilisinin özel anahtarları ele geçirildi. Üstelik bunların altısı web sitelerine TLS sertifikası veriyordu. Dolayısıyla bu anahtarlara sahip biri, herhangi bir site için geçerli görünen sahte bir sertifika üretebilirdi. Bu yüzden eMudhra ve Sectigo etkilenen sertifikaları iptal etti.

Apple'ın eMudhra destek sayfasına göre şirket 19 Ekim'de toplam 12 sertifikayı engellemeye başladı. Ardından 23 Ekim'de emSign ECC Root CA - G3 kök sertifikası da listeye eklendi. Ayrıca bu engelleme yazılım güncellemesi gerektirmeden cihazlara otomatik olarak ulaşıyor.

Mac kullanıcısı için ne değişiyor

Safari, Mail ve Apple'ın ağ çerçevelerini kullanan uygulamalar zaten korunuyor. Dolayısıyla Terminal kullanmıyorsanız herhangi bir adım atmanız gerekmiyor. Öte yandan geliştiriciler ve sistem yöneticileri için durum farklı. Çünkü curl, git, python3, ruby, perl ve openssl gibi araçlar sertifikaları doğrudan cert.pem dosyasıyla karşılaştırıyor.

Bu nedenle macOS 27.3 ya da ara güncelleme gelene kadar söz konusu araçlar sertifikaları kabul etmeye devam edebiliyor. Beklemek istemeyen yöneticiler, Apple'ın destek sayfasındaki komutlarla ilgili kök sertifikaları dosyadan kaldırabiliyor. Ancak Apple, bu işlemden önce dosyanın yedeğinin alınmasını ve her macOS güncellemesinden sonra kontrolün tekrarlanmasını öneriyor.

Ayrıca bazı uygulamalar kendi sertifika listesini taşıyor. Ancak bu uygulamalar ne Apple'ın engellemesini ne de cert.pem dosyasını kullanıyor. Böyle bir araç kullanıyorsanız güncelleme için geliştiricisiyle iletişime geçmeniz gerekiyor.

Mac tarafında sertifika kaynaklı riskler ilk kez gündeme gelmiyor. Daha önce Apple sertifikalı kötü amaçlı yazılımın Mac'lerde yayılması da benzer bir güven sorununu göstermişti. Kısacası Terminal ile çalışıyorsanız beta ya da ara güncellemeyi takip etmekte fayda var.