苹果宣布删除eMudhra G3根证书的信任但Mac命令行工具还需要等待后续更新

#系统资讯苹果已经删除 emSign ECC Root CA G3 根证书的信任，不过 macOS 命令行工具暂时还未更新，还需要等待苹果后续更新。谷歌已经决定在 10 月 27 日从 Chrome 中删除 G3 根证书的信任，苹果的删除速度更快，目前已经通过云端配置完成删除和下发操作。macOS 各种命令行工具依赖证书包，目前尚未撤销问题证书的信任，苹果将在后续通过软件更新撤销信任。查看全文：https://ourl.co/127677

苹果目前已经自动封锁印度 eMudhra 公司弱密钥事件涉及的 8 张 TLS 中间证书，后续苹果也将封锁 emSign ECC Root CA - G3 根证书。苹果自家应用例如 Safari 浏览器和邮件等使用苹果网络与安全框架的应用已经通过自动下发的证书配置获得保护，部分 Mac 命令行工具使用独立的系统证书文件，还需要等待后续 macOS 更新进行封锁。

此次事件涉及 eMudhra 管理的 8 个中间 CA 私钥，其中 6 个用于签发 TLS 证书，2 个用于签发代码签名证书。苹果支持文件显示，6 个 TLS 中间 CA 各自对应两种证书链：一种由 emSign 根证书签发，另一种由 Sectigo 的 AAA Certificate Services 交叉签名，因此系统实际封锁清单共有 12 张 TLS 中间证书。

苹果已经在 10 月 19 日向设备下发自动封锁配置、无需用户安装系统更新。10 月 23 日苹果开始封锁 emSign ECC Root CA - G3 根证书，这个根证书密钥并未泄露，苹果将其拦截主要是扩大安全防护。另外谷歌浏览器和火狐浏览器也将陆续封锁 eMudhra 这份根证书。

部分 macOS 或 Xcode 命令行工具通过 /etc/ssl/cert.pem 验证证书，苹果称 curl、git、python3、ruby、perl 和 openssl 等工具可能继续信任受影响的证书链，除非用户在使用时通过命令在线检查证书吊销清单。

苹果称后续会通过软件更新为这些命令行工具封锁证书，管理员也可以按照苹果支持文件中的步骤，手动从证书包里移除相关根证书。但这个操作存在风险：受影响中间证书存在 Sectigo 交叉信任链，只删除 emSign 根证书不够，而删除 AAA 根证书又可能影响其他依赖这个根证书的合法网站。

所以建议普通用户不要手动操作证书库删除相关根证书，等待苹果后续发布的更新即可，专业用户如果有需要可以自行根据苹果支持文件删除根证书。