A weboldalak tanúsítványai azt a célt szolgálják, hogy a szoftver eldönthesse, megbízható-e egy kapcsolat. Ha azonban a tanúsítványok kiadásához használt kulcsok illetéktelen kezekbe kerülnek, ez a bizalom veszélyesen félrevezetővé válhat. Apple biztonsági közleményt tett közzé nyolc eMudhra köztes hitelesítésszolgáltatóhoz tartozó, kompromittálódott privát kulcsokról. Ezek közül hat TLS-tanúsítványokat ad ki, vagyis aki megszerezte ezeket a kulcsokat, olyan tanúsítványokat hozhat létre, amelyek bármely weboldalhoz érvényesnek tűnnek.

Apple október 19-én kezdte el automatikusan blokkolni az érintett tanúsítványokat. A Safari, a Mail és minden olyan alkalmazás, amely az Apple hálózati és biztonsági frameworkjeit használja, külön szoftverfrissítés nélkül megkapja ezt a védelmet.

Néhány Mac parancssori eszköz azonban továbbra is elfogadhatja ezeket a tanúsítványokat. Apple többek között a curlt, a Git-t, a python3-at, a rubyt, a perlt és az openssl-t említi, amelyek az /etc/ssl/cert.pem fájlt használják. Az ebben a fájlban szereplő rootokra visszavezethető tanúsítványok esetén ezek az eszközök sem az Apple blokkolólistáját, sem a visszavonási állapotot nem ellenőrzik.

Ez kellemetlen helyzetet teremt fejlesztőknek és rendszergazdáknak. A böngészőben meglévő védelem nem feltétlenül jelenti azt, hogy a mellette futó eszközök is védettek.

Apple szerint egy későbbi szoftverfrissítés fogja kezelni a problémát. A rendszergazdák már most eltávolíthatják kézzel az érintett root tanúsítványokat, de ez a kerülőmegoldás azt is eredményezheti, hogy egyes valóban létező weboldalakat sem lehet majd hitelesíteni. Azoknál az alkalmazásoknál, amelyek saját tanúsítványlistát használnak, külön beavatkozásra lehet szükség.

A közlemény nem számol be felhasználók elleni, igazolt támadásokról. A tanulság mégis nyugtalanító: a szoftver úgy is érvényesnek láthat egy biztonságos kapcsolatot, hogy közben olyan bizalomra támaszkodik, amelyet már régen vissza kellett volna vonni.