Mười một ngày sau khi được báo về sự cố chứng chỉ eMudhra, Apple (AAPL) vẫn chưa gỡ các chứng chỉ bị xâm phạm khỏi bộ công cụ dành cho lập trình viên trên macOS. Git, curl và python3 đi kèm máy vẫn tin tưởng chúng. Bản macOS 27.2 ra ngày 26/10 không sửa được lỗi, thậm chí còn xóa bản vá thủ công mà nhiều người đã tự áp dụng.

Rủi ro thực tế

Chứng chỉ HTTPS giống như giấy tờ tùy thân của một website. Nếu hệ thống tin nhầm giấy tờ giả, kẻ xấu trên đường truyền, chẳng hạn trong quán cà phê dùng chung Wi-Fi, có thể đóng giả GitHub. Hậu quả là mã độc có thể lọt vào dự án khi bạn tải code về, và token đăng nhập GitHub của bạn có thể bị đánh cắp.

Ai bị ảnh hưởng và cách đối phó

Safari và các ứng dụng dùng khung mạng của Apple đã được bảo vệ. Rủi ro tập trung ở các công cụ dòng lệnh đi kèm macOS dành cho lập trình viên. Hàng chục dự án khác, nhiều dự án do tình nguyện viên duy trì, đã tung bản vá từ nhiều ngày trước.

Lập trình viên có thể kiểm tra bằng lệnh git ls-remote mà trang cảnh báo cung cấp, rồi gỡ thủ công các chứng chỉ lỗi và lặp lại sau mỗi lần cập nhật macOS. Các đội bảo mật cũng nên rà soát máy chạy macOS trong hệ thống CI, vì đây là nguy cơ cho chuỗi cung ứng phần mềm.