Safari blocca i certificati eMudhra compromessi. Git sul Mac può ancora accettarli

Un Mac può rifiutare un certificato compromesso in Safari e accettarlo durante un git clone. È il seguito poco rassicurante dell’incidente eMudhra: Apple ha protetto le app che usano i suoi sistemi di sicurezza, mentre alcuni strumenti inclusi in macOS e negli Xcode Command Line Tools continuano a consultare un altro elenco di certificati fidati.

Apple lo conferma nella propria guida: git, curl e altri comandi possono usare il file /etc/ssl/cert.pem, senza applicare il blocco introdotto per Safari e Mail. Chi possiede le chiavi compromesse può creare certificati apparentemente validi per siti altrui; con la possibilità di intercettare la connessione, questo può esporre codice scaricato e credenziali.

Il 28 ottobre Dennis Jackson ha segnalato un altro problema: secondo le sue verifiche, macOS 27.2, uscito due giorni prima, ha ripristinato anche i certificati che alcuni utenti avevano rimosso a mano. La guida Apple avverte proprio che un aggiornamento può sostituire quel file e rendere necessario ripetere la mitigazione.

La correzione automatica per questi comandi è promessa in un futuro aggiornamento. Nel frattempo Apple documenta una rimozione manuale facoltativa per gli amministratori, con una conseguenza da considerare: togliere quelle radici può impedire anche la verifica di siti con certificati legittimi.