Pokud používáte iPhone, iPad nebo na Macu Safari a Mail, nemusíte kvůli prolomeným certifikátům eMudhra dělat vůbec nic. Apple je blokuje od 19. října 2026 automaticky, bez aktualizace systému, a zatím nikdo nezaznamenal, že by je někdo zneužil. Jediná mezera zůstává v nástrojích příkazové řádky na Macu, kterou Apple uzavře příští aktualizací macOS. Přesto stojí za to vědět, co se stalo, protože jde o jednu z větších chyb v infrastruktuře důvěry na internetu za poslední roky.
Co se stalo: klíče, které šlo uhodnout z 256 možností
Certifikační autority vydávají webům certifikáty, díky kterým prohlížeč pozná, že se opravdu připojil k bance nebo e-shopu a ne k podvrhu. Indická autorita eMudhra provozovala osm takzvaných mezilehlých autorit, jejichž soukromé klíče se ukázaly jako slabé. Podle zjištění bezpečnostních výzkumníků, o kterých psal 9to5Mac a SuperApple, za to mohla chyba ve skriptu, který klíče generoval. Soukromý klíč šlo dopočítat vyzkoušením pouhých 256 možností, což zvládne běžný notebook během několika sekund.
Kdo takový klíč má, může si vystavit certifikát pro libovolnou doménu a prohlížeč ho bude považovat za pravý. Útočník by tak dokázal postavit kopii internetového bankovnictví nebo přihlašovací stránky, kterou by Safari ani Chrome neoznačily jako podezřelou. Podle Applu zatím neexistuje důkaz, že k něčemu takovému došlo, ale okno příležitosti bylo otevřené po celou dobu existence certifikátů.
Apple ve svém dokumentu upřesňuje, že dvě z osmi autorit vydávaly certifikáty pro podepisování kódu, kterým jeho systémy nikdy nedůvěřovaly. Zbývajících šest vydávalo certifikáty TLS pro weby a právě ty jsou problém. eMudhra a společnost Sectigo, která šest z nich křížově podepsala, už certifikáty odvolaly.
Co udělal Apple a od kdy
Podle dokumentu podpory Apple z 23. října postupoval Apple ve dvou krocích:
- Od 19. října 2026 blokuje dvanáct certifikátů (každá ze šesti autorit TLS měla jeden certifikát od kořene emSign Root TLS CA - G3 a jeden křížově podepsaný od Sectigo).
- Od 23. října blokuje navíc celý kořenový certifikát emSign ECC Root CA - G3.
Důležité je, jak se blokace šíří. Apple ji nedistribuuje jako aktualizaci iOS nebo macOS, ale jako aktualizaci konfigurace certifikátů, kterou si zařízení stahují na pozadí. Proto nemusíte nic instalovat ani restartovat. Blokace platí pro Safari, Mail a všechny aplikace, které používají síťové a bezpečnostní knihovny Applu, což je většina aplikací z App Storu.
Stejně postupovaly Google u Chromu a Mozilla u Firefoxu, takže ochrana nezávisí na tom, který prohlížeč používáte.
Kde zůstává díra: příkazová řádka na Macu
Na Macu existuje druhá sada důvěryhodných certifikátů v souboru /etc/ssl/cert.pem, kterou používají nástroje příkazové řádky. Apple jmenuje curl, git, python3, ruby, perl a openssl, tedy nástroje dodávané s macOS a s Xcode Command Line Tools. Tyto nástroje blokaci ani odvolání certifikátů nekontrolují, takže prolomeným certifikátům důvěřují dál. Na tuto slabinu upozornil kryptograf Dennis Jackson z Mozilly.
Běžného uživatele se to netýká. Problém mají správci systémů a vývojáři, jejichž skripty stahují data přes curl nebo git. Apple pro ně popsal dočasný postup, jak z uvedeného souboru odstranit kořenové certifikáty emSign ECC Root CA - G3 a případně AAA Certificate Services. Zároveň varuje, že úprava ovlivní všechny nástroje, které soubor používají, a že ji může přepsat libovolná aktualizace macOS. Trvalé řešení přinese až připravovaná aktualizace macOS, jejíž termín Apple neoznámil.
Aplikace, které si nesou vlastní seznam kořenových certifikátů, nepoužívají ani blokaci Applu, ani tento soubor. U nich se musíte spolehnout na jejich vývojáře.
Co to znamená pro vaše zařízení
Z pohledu servisu jde o čistě softwarovou záležitost, žádný díl se neopravuje ani nemění. Přesto z ní plyne pár praktických závěrů:
- Na iPhonu a iPadu nemusíte nic dělat. Zařízení si blokaci stáhlo samo, pokud bylo v posledním týdnu připojené k internetu.
- Na Macu platí totéž pro Safari, Mail a běžné aplikace. Pokud v Terminálu nepracujete, můžete téma pustit z hlavy a jen nainstalovat příští aktualizaci macOS, až vyjde.
- Pokud na Macu používáte curl, git nebo skripty v Pythonu pro práci s citlivými daty, zvažte dočasný postup z dokumentu Applu, nebo počkejte na aktualizaci.
- Nejlepší ochranou před podvrženými weby zůstává aktuální systém. Pokud váš iPhone nebo Mac aktualizaci odmítá, hlásí málo místa nebo se po ní nerozběhne, pomůžeme vám na Žižkově. Diagnostika je při opravě zdarma, ceny softwarových zásahů najdete v ceníku oprav a termín domluvíte přes kontakt.
Jedna věc se touto událostí nemění: ani správně fungující certifikát nezaručí, že stránka je poctivá. Před zadáním hesla nebo platební karty se vždy podívejte na adresu v řádku prohlížeče a na odkazy z e-mailů a SMS neklikejte.
Časté otázky
Jak poznám, že můj iPhone certifikáty blokuje? Nijak zvlášť, Apple to v nastavení nezobrazuje. Blokace se stahuje automaticky jako součást konfigurace certifikátů. Stačí, že byl telefon připojený k internetu.
Musím kvůli tomu aktualizovat na iOS 27 nebo nejnovější macOS? Ne. Apple píše, že blokace v Safari a Mailu nevyžaduje žádnou aktualizaci softwaru. Aktualizace macOS, kterou Apple připravuje, řeší jen nástroje příkazové řádky. Aktuální systém ale doporučujeme mít z jiných bezpečnostních důvodů.
Byla moje data v ohrožení? Podle Applu ani podle výzkumníků neexistuje důkaz, že někdo slabé klíče zneužil. Riziko bylo teoretické, ale reálné, proto všichni výrobci prohlížečů zasáhli během několika dní.
Týká se to i starších Maců, které už nové macOS nedostanou? Apple ve svém dokumentu neuvádí, kterých verzí systému se blokace týká. Pokud máte starší Mac, používejte pro citlivé operace aktuální verzi Safari, Chromu nebo Firefoxu a sledujte, zda pro váš systém vyjde bezpečnostní aktualizace.
Zdroje
- Apple Support: About the compromised eMudhra intermediate CAs
- 9to5Mac: Apple blocks web certificates that could be used by scammers, but Mac vulnerability remains
- MacRumors: Apple Addresses Web Security Threat, Working on macOS Update With Additional Fix
- SuperApple: Apple zablokoval osm slabých certifikátů. Na Macu problém přetrvává
- AppleInsider: Apple blocks bafflingly weak security certificates on iPhone
