Apple bloqueia certificados falsos que podiam sequestrar sites no iPhone e Mac
Saiba como Apple, Google, Mozilla e Microsoft bloquearam oito certificados comprometidos da eMudhra que poderiam permitir ataques de falsificação de sites.
A Apple bloqueou um lote de certificados digitais comprometidos de uma empresa indiana chamada eMudhra, fechando um buraco de segurança que permitiria a um atacante se passar por sites legítimos. Para quem tem iPhone, iPad ou Mac, nada precisa ser feito: a proteção já está valendo sozinha.
Resumo
- Apple bloqueou oito certificados da empresa indiana eMudhra com chaves de segurança frágeis
- Um invasor poderia criar certificados falsos para sites reais e enganar vítimas
- Bloqueio é automático no Safari, Mail e maioria dos apps da Apple
- Ferramentas de desenvolvedor no Mac ainda podem aceitar os certificados
- Google, Mozilla e Microsoft também bloquearam os certificados nas suas plataformas
No começo de outubro, um pesquisador de segurança descobriu que oito certificados emitidos pela eMudhra tinham chaves de segurança extremamente frágeis. Em termos simples, os códigos secretos que deveriam garantir a confiança daqueles certificados eram tão fracos que qualquer um conseguiria descobri-los. Na prática, um invasor poderia criar certificados falsos para sites reais e enganar quem acessasse, fazendo a vítima achar que estava num endereço legítimo.
Não há, até agora, nenhuma evidência de que a falha tenha sido usada em ataques reais, segundo a Apple.
Como a Apple respondeu ao problema
Os certificados eram aceitos pelos principais navegadores, incluindo Safari, Chrome, Firefox e Edge. Depois que a descoberta veio a público em 17 de outubro, fabricantes de navegadores e empresas de sistemas operacionais agiram rápido.
A Apple começou a bloquear os certificados afetados no dia 19 de outubro. O bloqueio vale automaticamente para o Safari, o app Mail e a maioria dos aplicativos em dispositivos Apple. Não é preciso instalar nenhuma atualização de software nem mudar nenhuma configuração.
Há uma única exceção. Algumas ferramentas usadas por desenvolvedores e administradores de sistema no Mac, como certos programas de linha de comando, ainda podem aceitar os certificados até a Apple lançar uma atualização futura do macOS que feche a brecha por completo. A empresa não deu uma data para essa atualização. Quem usa essas ferramentas e quiser proteção extra pode seguir os passos manuais opcionais descritos no documento de suporte da Apple. A maioria dos usuários de Mac que não usam esses recursos não precisa fazer nada.
A reação do setor e o futuro da eMudhra
Google, Mozilla e Microsoft também bloquearam os certificados em suas plataformas nos dias seguintes ao relatório. A própria eMudhra revogou os certificados e anunciou que está saindo do negócio de emissão de certificados de segurança globais para sites.
Perguntas frequentes
Preciso fazer alguma coisa para me proteger?
Não. O bloqueio é automático e não exige nenhuma ação do usuário comum.
O ataque já aconteceu com alguém?
Não há evidência de que a falha tenha sido usada em ataques reais, segundo a Apple.
O que muda para quem usa ferramentas de desenvolvedor no Mac?
Alguns programas de linha de comando ainda podem aceitar os certificados até uma futura atualização do macOS. Quem usa esses recursos pode seguir os passos manuais descritos no suporte da Apple.
A empresa indiana disse que o problema veio de um erro durante o processo de criação dos certificados, que seus sistemas não foram invadidos e que nenhum dado de cliente foi roubado.
📲 Segurança de certificado é um daqueles temas que passa despercebido até dar problema. Para não perder as próximas atualizações sobre vulnerabilidades e correções da Apple, entra no Canal do TS no WhatsApp.
O caso mostra como as grandes empresas de tecnologia conseguem responder rapidamente quando um problema sério de certificado aparece, mas também expõe que algumas ferramentas especializadas podem demorar mais para ficar totalmente protegidas. Para a imensa maioria dos usuários Apple, o risco já foi resolvido.
Fonte: MacDailyNews
Escrito por
