Блокировка доверия для сертификата wosign ca free ssl certificate g2
Центр сертификации (ЦС) WoSign несколько раз допускал ошибки, связанные с управлением, при выдаче сертификатов через промежуточный ЦС WoSign CA Free SSL Certificate G2. Хотя корневой сертификат WoSign находится в списке доверенных сертификатов Apple, этот промежуточный центр сертификации использовался для связей сертификатов с перекрестной подписью с StartCom и Comodo, чтобы установить отношение доверия с продуктами Apple.
В свете этих обстоятельств мы принимаем меры по защите пользователей в рамках обновления безопасности. Продукты Apple больше не доверяют промежуточному центру сертификации WoSign CA Free SSL Certificate G2.
Чтобы предотвратить прекращение обслуживания держателей сертификатов WoSign и обеспечить для них переход на доверенные корневые сертификаты, продукты Apple доверяют индивидуальным существующим сертификатам, выданным этим промежуточным центром сертификации и опубликованным на общедоступных серверах журналов Certificate Transparency до 19 сентября 2021 года. Эти сертификаты будут считаться доверенными до тех пор, пока не истечет их срок действия, они не будут отозваны или не будут признаны недоверенными компанией Apple.
По мере изучения проблемы и обнаружении дополнительных уязвимостей, появляющихся из-за использования точек доверия WoSign/StartCom в продуктах Apple, мы будем принимать необходимые меры для защиты пользователей.
Дальнейшие действия для WoSign
В ходе дальнейшего исследования мы пришли к выводу, что помимо многочисленных ошибок управления в работе центра сертификации WoSign (CA), организация WoSign не сообщила о приобретении StartCom.
Мы продолжаем принимать меры для защиты пользователей в предстоящем обновлении безопасности. Продукты Apple будут блокировать сертификаты, выданные корневыми центрами сертификации WoSign и StartCom, если их дата Not Before (Не раньше) выпадает на 1 декабря 2021 г. 00:00:00 GMT/UTC или позже.
Прежние общие хранилища доверия
Начиная с iOS 12, macOS 10.14, tvOS 12 и watchOS 5, все четыре операционные системы Apple используют общее хранилище доверия. По мере обновления версии хранилища доверия прежние версии архивируются по следующим ссылкам:
- Перечень доступных доверенных корневых сертификатов в iOS 14.2, iPadOS 14.2, macOS 11, tvOS 14.2 и watchOS 7.1
- Перечень доступных доверенных корневых сертификатов в iOS 14.0, macOS 11.0, tvOS 14.0 и watchOS 7.0
- Перечень доступных доверенных корневых сертификатов в iOS 13.4, macOS 10.15.4, tvOS 13.4 и watchOS 6.2
- Перечень доступных доверенных корневых сертификатов в iOS 13, iPadOS 13, macOS 10.15, tvOS 13 и watchOS 6
- Перечень доступных доверенных корневых сертификатов в iOS 12.1.3, macOS 10.14.3, tvOS 12.1.2 и watchOS 5.1.3
- Перечень доступных доверенных корневых сертификатов в iOS 12, macOS 10.14, tvOS 12 и watchOS 5
Проблемы с сертификатом при установке старой macos
Не у всех получается переустановить macOS в случае с проблем с ОС. Иногда возникает проблема c сертификатом. Это актуально для старых macOS Sierra и старше.
Например, вы решили создать загрузочную флешку со старой macOS, например Sierra. Или переустановить систему с внешнего накопителя. В меню загрузки выбираем «Установка macOS», и появляется сообщение:
«Экземпляр программы «Установка macOS Sierra» поврежден и не может быть использован для установки macOS.
Такую же ошибку вы получите с любой системы, выпущенной до Catalina. Дело в том, что в конце 2021 года у компании Apple истекли сроки действия сертификатов на существующие на тот момент установщики системы macOS.
Конечно, купертиновцы быстро обновили свои сертификаты установщиков, и дали скачать новые версии macOS с уже новыми сертификатами с офиц. сайта Apple.com.
Но немногие пользователи об этом знали. Как раз у многих возникли проблемы с тем, что установщик macOS выдавал ошибку, и при этом нормально не объясняя, что проблема именно в сертификате.
Решить проблему просто — надо просто изменить дату.
Разумеется, если устанавливать систему из интернет, у вас такой проблемы не будет, т.к. оттуда всегда загружается последняя версия со всеми установленными сертификатами. Либо вы можете перекачать установщики с сайта Apple и сделать внешний диск заново.
Проблема решается просто и быстро. На вашем компьютере установлена дата уже после того, как сертификат истек. И нам нужно ее установить на более старую.
- Отключите систему от интернета: выключите wi-fi или проводной интернет.
- Перейдите в Утилиты — Терминал. Введите команду:
date 1030223018
- Завершите терминал через верхнее меню Терминал — Завершить терминал.
- Далее в служебных программах macOS жмете Установить macOS.
- Продолжаете установку, как обычно.
Сведения о хранилище доверия и сертификатах
В каждом перечисленном ниже хранилище доверия macOS содержится три категории сертификатов:
- Доверенные сертификаты устанавливают цепочку доверия для проверки других сертификатов, подписанных доверенными корнями (например, для установки безопасного соединения с веб-сервером). Когда ИТ-администраторы создают профили конфигурации для ОС macOS, нет необходимости включать эти доверенные корневые сертификаты.
- Недоверенные сертификаты ненадежны, но они не блокируются. Если используется один из таких сертификатов, пользователю будет предложено выбрать, доверять ему или нет.
- Заблокированные сертификаты считаются опасными и никогда не будут доверенными.