macOS 27.2.1, eMudhra sertifika açığını kapatıyor

Apple, macOS 27.2.1 güncellemesiyle eMudhra kaynaklı sertifika sorununu komut satırı araçlarını da kapsayacak şekilde giderdi. Daha önce Safari, Mail ve Apple altyapısını kullanan uygulamalar için engellenen sertifikalar, curl ve git gibi araçlarda kabul edilmeye devam ediyordu. Güncellemeyle bu araçların da güvenliği ihlal edilmiş sertifikalara güvenmesinin önüne geçiliyor.

Sorunun kaynağı, Hindistan merkezli eMudhra tarafından yönetilen sekiz ara sertifika yetkilisinin özel anahtarlarının ele geçirilmesiydi. Apple, bu sertifikaları ekim ayında engellemişti; ancak uygulanan koruma komut satırı tarafındaki araçlara aynı biçimde yansımamıştı. macOS 27.2.1, bu boşluğu kapatırken kullanıcıların geçici olarak uyguladığı elle müdahaleyi de gereksiz hâle getiriyor.

Koruma artık komut satırı araçlarını da kapsıyor

curl, internet üzerinden veri aktarmak için; git ise yazılım projelerindeki değişiklikleri yönetmek için kullanılan yaygın komut satırı araçları arasında yer alıyor. Bu araçların güvenli bağlantılarda sertifika doğrulaması yapması, bağlanılan sunucunun kimliğini denetlemenin bir parçası. Ele geçirilmiş sertifikaların kabul edilmesi, bu doğrulamanın güvenilirliğini zayıflatabiliyor.

Apple, yeni sürüm öncesinde komut satırı araçlarını kullananlara geçici bir yöntem önermişti: İlgili kök sertifikaların Mac’teki /etc/ssl/cert.pem dosyasından elle silinmesi. macOS 27.2.1 sonrasında bu dosyada elle değişiklik yapmak gerekmiyor. Güncelleme, sertifikaları işletim sistemi düzeyinde engelleyerek kullanıcıların geçici çözüme başvurma ihtiyacını ortadan kaldırıyor.

Buradaki fark, korumanın yalnızca tarayıcıda görünen web siteleriyle sınırlı olmaması. Komut satırı üzerinden bağlantı kuran geliştiriciler ve ileri düzey kullanıcılar da sertifika denetimine güveniyor. Dolayısıyla güvenlik güncellemesi, Mac’in farklı kullanım biçimlerinde aynı riskin sürmesini engellemeyi hedefliyor.

Ele geçirilmiş sertifikalar neden risk oluşturuyor?

Dijital sertifikalar, bir web sitesinin veya sunucunun iddia ettiği kimliği doğrulamaya yardımcı olur. Bir sertifika yetkilisinin özel anahtarı kötü niyetli kişilerin eline geçtiğinde, bu anahtar kullanılarak güvenilir görünen sahte sertifikalar üretilebilir. Böyle bir sertifikayla gerçek bir site taklit edilirse kullanıcı, bağlantının güvenli olduğunu düşünerek hassas bilgilerini yanlış tarafa iletebilir.

Bu nedenle bir sertifikanın işletim sistemi ya da uygulamalar tarafından güvenilir kabul edilmemesi, güvenlik zincirinin önemli bir parçası. Apple’ın ekim ayında Safari, Mail ve kendi altyapısını kullanan uygulamalara getirdiği engel sorunun bir bölümünü çözmüştü. Ancak komut satırı araçlarının sertifikaları kabul etmesi, farklı bir kullanım alanında riskin devam etmesi anlamına geliyordu.

macOS 26 ve macOS 15 için de güncelleme var

macOS 27.2.1, Apple’ın bu soruna yönelik tek güncellemesi değil. macOS 26 kullanan Mac’ler için 26.7.3, macOS 15 yüklü cihazlar içinse 15.8.3 sürümü yayımlandı. Her iki sürüm de aynı eMudhra sertifika sorununu gideriyor. Böylece kullanıcıların güvenlik düzeltmesini almak için en yeni macOS ana sürümüne geçmesi gerekmiyor.

Apple, açığı macOS Golden Gate 27.3 beta sürümünde daha önce kapatmıştı. 27.2.1 güncellemesinin yayımlanması, kararlı sürüm kullananların düzeltme için beta yazılımına veya sonraki bir ana sürüme geçmesini beklemesine gerek bırakmıyor. Apple, Mac sahiplerine cihazlarını kullanılabilir en güncel yazılım sürümüne yükseltmelerini tavsiye ediyor.

Komut satırı araçlarını aktif kullananlar için bu güncelleme, daha önce elle yapılması önerilen sertifika temizliğini sistem düzeyinde çözüyor. macOS 26 ve 15 kullanıcılarının da kendi sürümleri için yayımlanan yamayı kontrol etmesi, aynı sertifika sorununa karşı korumanın tamamlanması açısından önem taşıyor.