macOS 27.3 推出重要安全性修復 解決 eMudhra 證書漏洞

macOS 27.3 針對安全性漏洞推出更新

蘋果公司（Apple）喺11月4日發布咗 macOS 27.3 嘅第一個開發者測試版（Developer Beta），今次更新包含咗一個好重要嘅安全性修復，主要係防止命令行工具（Command-line tools）接受 eMudhra 公司被破解嘅網頁證書。

具體嚟講，今次更新會將受影響嘅證書從 /etc/ssl/cert.pem 呢個檔案入面移除，從而消除潛在嘅安全風險。

更新時間表與手動處理方法

根據目前嘅預測，macOS 27.3 正式版預計要到 12 月先會對公眾開放。不過，預計蘋果公司（Apple）會喺短期內推出 macOS 27.2.1 更新，而呢個版本好大機會會包含同樣嘅安全性修復，等用家可以更快時間獲得保護。

對於暫時唔想更新 macOS 系統嘅用家，亦可以選擇手動處理。用家可以跟隨蘋果公司（Apple）相關支援文件入面嘅指示，手動將電腦 /etc/ssl/cert.pem 檔案入面受影響嘅證書刪除。

影響範圍與風險分析

如果用家平時唔會透過終端機（Terminal）或者類似工具使用命令行工具，咁目前已經係完全受保護嘅。蘋果公司（Apple）表示，由 10 月 19 日起，Safari、Mail 以及其他使用蘋果（Apple）網絡同安全性框架嘅應用程式，喺所有軟件平台上面已經自動封鎖咗 eMudhra 被破解嘅 TLS 網頁證書。

由於呢啲證書係自動封鎖，唔需要安裝任何軟件更新，所以大部分一般用家其實唔需要採取任何行動。

漏洞背景：eMudhra 證書問題

今次修復係因為一名安全研究員喺上個月發現，印度公司 eMudhra 旗下 8 個中間憑證機構（Intermediate Certificate Authority, CA）證書相關嘅私鑰（Private cryptographic keys）強度不足，屬於弱密鑰。

如果呢啲被破解嘅密鑰被攻擊者利用，可能會導致攻擊者能夠冒充合法網站，令用家嘅敏感資料面臨風險。不過，直到而家為止，暫時未發現有任何證據顯示呢啲密鑰被用嚟進行惡意攻擊。

總結

今次 macOS 27.3 嘅更新主要係針對進階用家或開發者使用命令行工具時嘅安全性問題。對於絕大部分只係使用一般應用程式嘅 Mac 用家，蘋果公司（Apple）已經喺系統底層處理咗 eMudhra 證書嘅封鎖問題，唔需要太過擔心。