苹果宣布删除eMudhra G3根证书的信任 但Mac命令行工具还需要等待后续更新
内容提要
苹果通过云端配置封锁了印度eMudhra泄露私钥涉及的12张TLS中间证书，并自10月23日起封锁emSign ECC Root CA G3根证书。Safari等苹果应用已受保护，但curl、git等macOS命令行工具仍依赖独立证书包，暂未更新，需等待后续系统更新。建议普通用户不要手动删除根证书，以免影响合法网站。
延伸解读
苹果的云端封锁与命令行工具的滞后
苹果通过云端配置自动下发封锁指令，无需用户安装系统更新即可保护Safari等使用苹果网络与安全框架的应用。但macOS命令行工具如curl、git等依赖独立的证书包（/etc/ssl/cert.pem），目前尚未更新，仍需等待后续系统更新才能撤销对问题证书的信任。这种差异意味着普通用户的上网浏览已受保护，但开发者在命令行中操作时可能仍面临风险。
封锁范围为何扩大到未泄露的根证书
此次事件涉及eMudhra管理的8个中间CA私钥泄露，其中6个用于TLS证书，每个对应两条证书链（emSign根证书签发和Sectigo交叉签名），因此实际封锁12张中间证书。苹果还从10月23日起封锁emSign ECC Root CA G3根证书，尽管该根证书密钥并未泄露，此举旨在扩大安全防护，防止攻击者利用泄露的中间证书构建信任链。
手动删除根证书的风险与建议
苹果建议普通用户不要手动从证书库删除相关根证书。因为受影响的中间证书存在Sectigo交叉信任链，仅删除emSign根证书不足以阻断风险，而删除AAA根证书又可能影响其他依赖该根证书的合法网站。管理员可按照苹果支持文件手动操作，但普通用户应等待苹果后续软件更新，以免误伤正常网站访问。
Q&A
苹果为什么删除eMudhra G3根证书的信任？
因为eMudhra管理的8个中间CA私钥泄露，其中6个用于签发TLS证书，2个用于代码签名。苹果为扩大安全防护，封锁了泄露私钥涉及的12张TLS中间证书，并进一步封锁emSign ECC Root CA G3根证书。
苹果从什么时候开始封锁eMudhra的根证书？
苹果于10月19日通过云端配置自动下发封锁12张TLS中间证书，并从10月23日开始封锁emSign ECC Root CA G3根证书。
macOS命令行工具如curl和git现在还会信任eMudhra的证书吗？
是的，目前curl、git、python3、ruby、perl和openssl等命令行工具仍可能信任受影响的证书链，因为它们依赖独立的证书包（如/etc/ssl/cert.pem），尚未更新。苹果计划通过后续软件更新来封锁这些证书。
普通用户应该手动删除eMudhra根证书吗？
不建议。手动删除根证书存在风险：受影响的中间证书有Sectigo交叉信任链，只删emSign根证书不够，而删除AAA根证书又可能影响其他合法网站。建议等待苹果后续更新。
除了苹果，还有哪些浏览器或公司封锁了eMudhra的根证书？
谷歌计划在10月27日从Chrome中删除G3根证书的信任，火狐浏览器也将陆续封锁该根证书。
eMudhra私钥泄露影响了多少张证书？
eMudhra泄露了8个中间CA私钥，其中6个用于TLS证书，2个用于代码签名。由于每个TLS中间CA有两种证书链（emSign签发和Sectigo交叉签名），系统实际封锁清单共有12张TLS中间证书。
