Apple se dlouhodobě chlubí tím, že bezpečnost uživatelů patří mezi jeho největší priority a přestože se mu v tomto směru daří držet vysoký standard, čas od času musí řešit problémy, které mohou mít velmi nepříjemné následky. Přesně to se stalo nyní, kdy kalifornský gigant musel zablokovat několik bezpečnostních certifikátů, jejichž zneužití by útočníkům umožnilo vydávat se za legitimní internetové stránky. A co je na celé věci možná nejzajímavější, za problémem nestojí žádná sofistikovaná hackerská technika, ale překvapivě banální chyba při vytváření šifrovacích klíčů.
Mohlo by vás zajímat
Na problém upozornili bezpečnostní výzkumníci, kteří odhalili závažnou chybu v certifikátech vydaných certifikační autoritou eMudhra, která poskytuje digitální certifikáty, jejichž prostřednictvím mohou internetové prohlížeče ověřovat důvěryhodnost webových stránek. V tomto případě se však ukázalo, že soukromé klíče osmi certifikátů byly vytvořeny nevhodným způsobem, kdy místo dostatečně složitých hodnot obsahovaly čísla menší než 256. Útočníkovi tak stačilo vyzkoušet maximálně 256 možností, aby příslušný klíč odhalil.
S takto získaným klíčem by přitom útočníci mohli vytvářet falešné certifikáty, které by některé aplikace považovaly za důvěryhodné. V krajním případě by tak mohli napodobit legitimní webové stránky nebo se pokusit zachytávat šifrovanou komunikaci.
Apple na problém zareagoval 19. října, kdy začal kompromitované certifikáty blokovat. Podobné kroky podnikly také společnosti Google a Mozilla. Podle bezpečnostního experta Dennise Jacksona z Mozilly navíc Safari a další významné prohlížeče disponovaly dodatečnými kontrolami, které měly podobnému zneužití zabránit, což však bohužel neznamená, že je problém úplně vyřešený. Některé aplikace a nástroje totiž využívají vlastní způsob ověřování certifikátů. Potenciální riziko tak může přetrvávat například u určitých nástrojů příkazového řádku v macOS, včetně utility curl, která nemusí automaticky respektovat všechny informace o zneplatnění certifikátů.
Mohlo by vás zajímat
Dobrou zprávou nicméně je, že zatím neexistují důkazy o skutečném zneužití těchto certifikátů při útocích na uživatele. Pokud tedy používáte iPhone, iPad nebo Mac, není důvod k panice. Rozhodně je však vhodné udržovat operační systém i používané aplikace aktuální. Celá situace je každopádně krásnou ukázkou toho, jak zásadní důsledky může mít zdánlivě drobná chyba. V tomto případě totiž stačilo nesprávně vygenerovat několik čísel a rázem vznikl problém, který musely řešit jedny z největších technologických společností světa.
