Apple zablokoval skupinu kompromitovaných bezpečnostných certifikátov, ktoré mohli útočníkom umožniť vydávať sa za dôveryhodné internetové stránky. Nešlo pritom o prelomenie šifrovania ani o útok na servery spoločnosti Apple. Problém vznikol pri indickej certifikačnej autorite eMudhra, ktorá vytvorila osem sprostredkovateľských certifikátov s absurdne slabými súkromnými kľúčmi.
Takýto certifikát funguje ako digitálne potvrdenie dôvery. Prehliadaču pomáha overiť, že stránka banky, e-mailovej služby alebo internetového obchodu skutočne patrí prevádzkovateľovi uvedenej domény. Ak však útočník získa súkromný kľúč sprostredkovateľskej autority, môže vytvárať podvodné certifikáty, ktoré zraniteľný softvér považuje za legitímne.
Súkromný kľúč sa dal uhádnuť na 256 pokusov
Incident bol nahlásený 17. októbra 2026. Mozilla dokázala súkromné kľúče nezávisle obnoviť ešte v ten istý večer a označila chybu za triviálne zneužiteľnú. Podľa technického rozboru mali všetky hodnotu nižšiu než 256. Namiesto prakticky nepredstaviteľného množstva možností teda stačilo vyskúšať najviac 256 čísel.
Spoločnosť eMudhra neskôr vysvetlila, že počas generovania kľúčov v apríli 2025 vznikla vinou chyby v pracovnom postupe druhá, slabá sada. Práve tá bola omylom použitá pri certifikátoch odoslaných do dôveryhodných úložísk prehliadačov a operačných systémov.
Šesť zasiahnutých certifikátov bolo určených pre webové TLS spojenia a dva pre podpisovanie kódu. Detailný priebeh incidentu zverejnila Mozilla, ktorá ich vo Firefoxe zablokovala v priebehu necelých troch hodín bez potreby reštartu. Google, Microsoft a Apple zaviedli vlastné blokovanie.
Apple používateľov ochránil, na Macu zostáva výhrada
Apple mal kompromitované certifikáty zablokovať 19. októbra. Safari používa aj ďalšie mechanizmy overovania, ktoré by podobný podvod výrazne sťažili. Bežní majitelia iPhonov, iPadov a Macov preto nemusia meniť heslá ani certifikáty ručne. Dôležité je mať nainštalované aktuálne systémové a aplikačné aktualizácie, podobne ako pri predchádzajúcich bezpečnostných opravách iOS.
Výhrada sa týka najmä vstavaného nástroja curl v macOS a ďalších programov, ktoré nemusia správne kontrolovať informácie o zrušení certifikátu. Zastarané firemné systémy, kontajnery, zariadenia internetu vecí či vlastné aplikácie môžu používať staré databázy dôveryhodných autorít. Administrátori by preto mali aktualizovať balíky certifikátov a overiť, že postihnutým kľúčom už nedôverujú.
Dobrou správou je, že zatiaľ neexistuje verejný dôkaz o vydaní podvodných certifikátov alebo reálnom zneužití. eMudhra tvrdí, že s výnimkou jednej autority neboli zasiahnuté certifikáty nasadené v produkcii a ani tá nevydala koncové certifikáty pre weby. Firma zároveň uvádza, že nedošlo k narušeniu jej infraštruktúry ani úniku dát.
Zámok v prehliadači nie je jediná ochrana
Incident pripomína, že aj silná kryptografia môže zlyhať vinou banálnej chyby v procese. Používateľ pritom nemusel na podvodnej stránke vidieť bežné varovanie pred neplatným HTTPS certifikátom. Útočník by však stále potreboval presmerovať alebo zachytiť spojenie obete, takže samotná znalosť slabého kľúča automaticky neznamenala prístup ku každému zariadeniu.
Ostražitosť má význam aj po odstránení technickej chyby. Podvodníci dokážu dôveryhodnosť vytvárať kombináciou pravých e-mailov, telefonátov a presvedčivých webov, ako ukazuje aj nový trik falošnej podpory Apple. Za nás je rýchla reakcia výrobcov správna, no incident je vážnym varovaním pre celý systém digitálnych certifikátov. Kontrolujete pri citlivých stránkach adresu, alebo sa spoliehate iba na ikonu zámku? Napíšte nám na Facebooku alebo Instagrame.
Ak hľadáte overený iPhone so zárukou, ktorý prešiel rukami odborníkov zo SvetApple.sk, určite sa pozrite do nášho e-shopu Loopi.sk. Nájdete tu starostlivo skontrolované zariadenia za výrazne nižšie ceny než pri nových modeloch. Ušetriť môžete stovky eur, no stále získate spoľahlivý iPhone, ktorý vám bude bez problémov slúžiť ešte dlhé roky. 📱
