چرا ابزارهای توسعه‌دهندگان در macOS همچنان گواهی‌های ناامن eMudhra را اعتماد می‌کنند؟ — Ten days later, Git on macOS still trusts the compromised eMudhra certificates
خلاصه
با وجود گذشت روزها از افشای مشکل امنیتی گواهی‌های eMudhra، ابزارهای خط فرمان و برنامه‌هایی مانند Git و curl در سیستم‌عامل macOS همچنان به این گواهی‌ها اعتماد می‌کنند. این حفره امنیتی به مهاجمان اجازه می‌دهد تا ارتباطات HTTPS و کدهای مخزن‌های Git را رهگیری و دستکاری کنند.
توسعه‌دهندگانی که از سیستم‌عامل macOS استفاده می‌کنند، همچنان در معرض یک ریسک امنیتی جدی قرار دارند. ابزارهای توسعه همراه با این سیستم‌عامل، از جمله Git، curl و Python3، به گواهی‌های دیجیتال شرکت eMudhra که پیش‌تر مشکلات امنیتی آن‌ها گزارش شده بود، اعتماد می‌کنند. این در حالی است که بسیاری از پروژه‌های دیگر حتی با منابع داوطلبانه، خیلی زودتر این مشکل را برطرف کرده بودند.
ریشه مشکل کجاست؟
ماجرا از این قرار است که فایل‌های پیکربندی گواهی سیستم (مانند /etc/ssl/cert.pem) در macOS حاوی گواهی‌های میانی (Intermediate CAs) مرتبط با eMudhra هستند. اگرچه اپل توانسته مرورگر Safari و سایر برنامه‌های مبتنی بر فریم‌ورک شبکه خود را ایمن کند، اما ابزارهای خط فرمان و ابزارهای متکی بر پشته‌های دیگر همچنان آسیب‌پذیرند.
نکته نگران‌کننده‌تر اینکه به‌روزرسانی‌های جدید macOS نه تنها مشکل را برطرف نکرده‌اند، بلکه راه‌حل‌های موقتی که کاربران به صورت دستی پیاده‌سازی کرده بودند را نیز بازنشانی کرده و سیستم را دوباره در معرض خطر قرار داده‌اند.
چرا این مسئله برای مهندسین نرم‌افزار مهم است؟
اگر ابزار Git شما آسیب‌پذیر باشد، هرگونه عملیات clone یا pull از منابع https:// می‌تواند کدهای مخربی را به سیستم شما تزریق کند. همچنین عملیات push قابل دستکاری بوده و اطلاعات حساسی مانند توکن‌های GitHub ممکن است در طول مسیر رهگیری شوند.
برای اینکه بررسی کنید آیا Git شما تحت تأثیر این آسیب‌پذیری قرار دارد یا خیر، می‌توانید دستور زیر را اجرا کنید:
git ls-remote https://git-emudhra.we-have-a-problem.com/check.git
اگر با خطای گواهی (Certificate error) مواجه شدید، یعنی ابزار شما ایمن است. اما اگر Git لیست کامیت‌ها را نمایش داد، یعنی سیستم شما آسیب‌پذیر است و ارتباطات آن قابل شنود و دستکاری است.
واکنش جامعه توسعه‌دهندگان در هکرنیوز
بحث‌های داغی در Hacker News پیرامون این موضوع شکل گرفته است. برخی کاربران اشاره کرده‌اند که نباید این مسئله را صرفاً به پای مشکلات خود Git نوشت، بلکه مقصر اصلی وجود گواهی‌های ناسالم در مخزن اصلی گواهی‌های سیستم (/etc/) است که ابزارهای مختلفی از آن استفاده می‌کنند. برخی کاربران نیز از این قبیل سهل‌انگاری‌ها انتقاد کرده و از مهاجرت خود به لینوکس پس از سال‌ها کار با macOS خبر داده‌اند.
راهکار چیست؟
توسعه‌دهندگان تا زمان ارائه پچ رسمی توسط اپل مجبورند به صورت دستی گواهی‌های آلوده را از فایل‌های سیستم حذف کنند. تیم‌های امنیتی نیز باید بررسی کنند که آیا از رانرهای macOS در زیرساخت‌های CI/CD استفاده می‌کنند یا خیر، تا ریسک‌های زنجیره تأمین را کاهش دهند.
این مطلب به‌صورت کاملاً خودکار و با هوش مصنوعی از مقالهٔ اصلی و بحث هکرنیوز تهیه شده و ممکن است خطا داشته باشد. حقوق مطلب اصلی متعلق به نویسندهٔ آن است. قوانین و گزارش مشکل