با وجود افشای کلیدهای eMudhra، Git و curl در macOS هنوز به آن اعتماد می‌کنند
ده روز پس از افشای هشت کلید ضعیف مرجع گواهی eMudhra، ابزارهای توسعه اپل مانند git و curl هنوز به این گواهی‌ها اعتماد می‌کنند؛ خطر برای توسعه‌دهندگان.
یک پژوهشگر امنیتی گزارش داده است که ده روز پس از افشای کلیدهای خصوصی هشت گواهی میانی مرجع صدور گواهی هندی eMudhra، ابزارهای توسعه‌ای که اپل همراه macOS عرضه می‌کند، از جمله git، curl و python3، همچنان این گواهی‌ها را معتبر می‌دانند. به گفته نویسنده گزارش، اپل از ۱۷ اکتبر ۲۰۲۶ در جریان ماجرا بوده و نسخه macOS 27.2 در ۲۶ اکتبر بدون رفع مشکل منتشر شده است.
ماجرای eMudhra چه بود؟
طبق گزارش‌های Help Net Security و جمع‌بندی منتشرشده از موزیلا، هشت گواهی میانی eMudhra کلیدهای خصوصی بسیار ضعیفی داشتند. به گفته این منابع، در مراسم تولید کلید در ۳۰ آوریل ۲۰۲۵ یک اسکریپت معیوب دو دسته کلید ساخته بود، یکی درست و یکی خطرناک‌ضعیف، و کارکنان به‌اشتباه دسته ضعیف را برگزیدند. کلیدها چنان کوچک بودند که مهاجم می‌توانست آن‌ها را در کمتر از یک ثانیه از خود گواهی بازیابی کند.
نتیجه عملی این است که هر کسی می‌توانست برای هر دامنه‌ای گواهی HTTPS جعلی صادر کند، چون این گواهی‌های میانی از طریق ریشه‌های خود eMudhra و نیز امضای متقابل Sectigo به مخزن‌های اعتماد مرورگرها و سیستم‌عامل‌ها وصل بودند. نقص در ۱۷ اکتبر ۲۰۲۶ کشف شد و eMudhra روز بعد گواهی‌ها را باطل کرد.
نکات کلیدی
- هشت گواهی میانی با کلیدهای قابل بازیابی در کمتر از یک ثانیه
- کشف نقص: ۱۷ اکتبر ۲۰۲۶؛ ابطال توسط eMudhra: ۱۸ اکتبر
- تخمین شرکت: حدود ۳۰ هزار گواهی مشتری نیازمند جایگزینی است
واکنش مرورگرها و مشکل ابزارهای اپل
کروم و فایرفاکس ظرف چند ساعت گواهی‌های میانی را مسدود کردند؛ اپل در ۱۹ اکتبر و مایکروسافت در ۲۰ اکتبر. موزیلا ریشه emSign ECC Root CA – G3 را در NSS 3.131.1 حذف کرد و گوگل نیز اعلام کرده همین ریشه را از مخزن اعتماد کروم برمی‌دارد. eMudhra هم در ۲۲ اکتبر اعلام کرد از کسب‌وکار جهانی گواهی SSL/TLS خارج می‌شود.
اما به گفته گزارش وب‌سایت یادشده، ابزارهای خط فرمان همراه macOS جدا از مخزن اعتماد مرورگر کار می‌کنند و از فایل بسته گواهی‌های خودشان (/etc/ssl/cert.pem) استفاده می‌کنند. طبق این گزارش، این فایل هنوز ریشه‌های آسیب‌دیده را دارد و به‌روزرسانی ۲۷.۲ حتی راه‌حل دستی کاربران را هم از بین برده است. در همان گزارش آمده که ده‌ها پروژه دیگر، که بسیاری را داوطلبان نگه می‌دارند، چند روز پیش وصله منتشر کرده‌اند. این ادعاها را مستقل از منبع اصلی نتوانستیم تأیید کنیم و اپل هم تا زمان تهیه این خبر پاسخی علنی نداده است.
چرا برای برنامه‌نویس‌ها مهم است؟
اگر git به یک گواهی جعلی اعتماد کند، مهاجمی که در مسیر شبکه قرار دارد، مثلاً در یک وای‌فای عمومی یا شبکه‌ای آلوده، می‌تواند در تئوری هنگام clone یا pull کد مخرب تزریق کند، push را دستکاری کند یا توکن‌های دسترسی به مخزن را بدزدد. همین خطر درباره curl و پایتون نیز صدق می‌کند، به‌ویژه در اسکریپت‌های دانلود و نصب وابستگی.
به همین دلیل به تیم‌هایی که از macOS برای CI یا ساخت نرم‌افزار استفاده می‌کنند توصیه شده وضعیت زیرساخت خود را بررسی کنند. راهکار موقت پیشنهادی نویسنده گزارش، حذف دستی ریشه‌های آسیب‌دیده از بسته گواهی است؛ ولی چون ممکن است هر به‌روزرسانی سیستم آن را برگرداند، باید پس از هر آپدیت دوباره بررسی شود. برای کاربران ایرانی هم که اغلب به مخازن و بسته‌های خارجی وصل می‌شوند، رعایت همین احتیاط‌ها و تازه نگه داشتن ابزارها اهمیت دارد.
نکات کلیدی
- ابزارهای خط فرمان ممکن است از مخزن اعتماد جدا از مرورگر استفاده کنند
- پس از هر به‌روزرسانی macOS وضعیت بسته گواهی را بررسی کنید
- در CI روی macOS از ابزارهای به‌روزشده یا بسته گواهی خودتان استفاده کنید
جمع‌بندی
ماجرای eMudhra نشان می‌دهد یک خطای انسانی در تولید کلید می‌تواند کل زنجیره اعتماد را تضعیف کند و مرورگرها سریع‌تر از ابزارهای سیستمی واکنش نشان می‌دهند. تا زمانی که اپل رسماً موضع نگیرد، ادعای ماندن اعتماد در git و curl را باید جدی گرفت، هرچند هنوز تأیید مستقل نشده است.
منابع
- Ten days later, Git on macOS still trusts the compromised eMudhra certificatesemudhra.we-have-a-problem.com
- Help Net Security: eMudhra security blunder left trusted CA signing keys exposedhelpnetsecurity.com
این خبر بر اساس منابع بالا به فارسی بازنویسی و خلاصه شده است؛ برای جزئیات کامل به منبع اصلی مراجعه کنید.