Apple chặn chứng chỉ web lừa đảo nhưng lỗ hổng trên Mac vẫn tồn tại

Apple đã chặn tám chứng chỉ bảo mật web có thể bị kẻ lừa đảo sử dụng để mạo danh các trang web hợp pháp.

Tuy nhiên, một kỹ sư mật mã cảnh báo rằng máy Mac có thể tiếp tục tin tưởng các chứng chỉ bị xâm phạm này vì macOS không kiểm tra việc thu hồi.

Vấn đề liên quan đến cái gọi là chứng chỉ trung gian. Chúng được sử dụng để chứng minh quyền sở hữu của một trang web, vì vậy nếu bạn truy cập apple.com chẳng hạn, Safari sẽ kiểm tra xem bạn có đang truy cập trang web thực sự hay không.

Tuy nhiên, một lỗi trong tập lệnh được sử dụng để tạo các chứng chỉ này đã dẫn đến một số khóa riêng tư có thể dễ dàng được phát hiện bằng cách thử chỉ 256 số có thể xảy ra. Tám chứng chỉ bị xâm phạm hiện đã bị thu hồi và các bước đã được thực hiện để đảm bảo rằng lỗ hổng này sẽ không ảnh hưởng đến bất kỳ chứng chỉ nào được cấp trong tương lai.

Bleeping Computer đưa tin rằng Apple, Google và Mozilla đều đã chặn các chứng chỉ bị xâm phạm trong trình duyệt web của họ. Tuy nhiên, kỹ sư mật mã của Mozilla, Dennis Jackson, cảnh báo rằng máy Mac có thể tiếp tục tin tưởng chúng.

Jackson cũng cảnh báo rằng tiện ích tích hợp sẵn /usr/bin/curl của macOS có thể tiếp tục tin tưởng các chứng chỉ bị xâm phạm vì gói chứng chỉ của nó không kiểm tra thông tin thu hồi.

Nói cách khác, nếu máy Mac của bạn đã chấp nhận một trong các chứng chỉ, thì máy sẽ tiếp tục làm như vậy. Tuy nhiên, hiện tại không có bằng chứng nào cho thấy chúng đang bị lợi dụng trong thực tế và đây là vấn đề mà Apple có thể sẽ khắc phục trong bản cập nhật bảo mật sắp tới.