Apple blocca i certificati eMudhra compromessi: chi deve intervenire e cosa fare
Un certificato digitale è il motivo per cui il lucchetto accanto all’indirizzo di un sito non è solo decorazione. Se qualcuno riesce a falsificarlo, quel lucchetto continua a sorridere mentre i dati passano da un’altra parte. È lo scenario che si è aperto a inizio ottobre con eMudhra, autorità di certificazione indiana. Apple ha iniziato a chiuderlo il 19 ottobre.
La notizia arriva da MacRumors e dalla pagina di supporto Apple. Il punto non è un attacco in corso, quanto una crepa strutturale scoperta in tempo.
Le chiavi deboli di eMudhra
A inizio ottobre un ricercatore di sicurezza ha scoperto che le chiavi private associate a otto certificati intermedi di eMudhra erano deboli. Debole, in crittografia, non significa scritto male: significa che la chiave può essere ricavata con uno sforzo di calcolo ragionevole invece che in milioni di anni.
I certificati intermedi stanno tra la radice di un’autorità e i certificati dei siti. Se un intermediario cade, chi lo controlla può emettere certificati validi per qualunque dominio. Con quelle chiavi si potevano impersonare siti legittimi e intercettare dati sensibili.
Va detto con chiarezza: non ci sono prove che le chiavi siano state sfruttate. Il rischio era reale, l’attacco no.
Perché riguarda anche chi usa Android
eMudhra era nella lista delle autorità fidate praticamente ovunque: Safari, Chrome, Edge e Firefox. Il problema non era un affare privato di Apple, ma di tutta la catena di fiducia del web.
I browser hanno reagito uno dopo l’altro. Apple ha spiegato in un documento di supporto di aver bloccato i certificati compromessi dal 19 ottobre, in Safari, in Mail e nelle app che usano i suoi framework di rete e sicurezza.
Il blocco è automatico e non richiede un aggiornamento del sistema. Chi usa iPhone, iPad o Mac non deve fare niente: un sito con certificato eMudhra compromesso ora non passa più.
Che cosa garantisce davvero il lucchetto
Il lucchetto nella barra degli indirizzi indica che la connessione è cifrata e che il certificato è firmato da un’autorità fidata. Non dice nulla sull’onestà del sito: anche una truffa può avere un certificato valido. Garantisce l’identità tecnica del dominio, non la buona fede di chi lo gestisce.
Su Android basta toccare il lucchetto e aprire “Certificato”. Su iOS la voce è sotto “Mostra dettagli”.
Il buco che resta sul terminale
C’è un’eccezione e riguarda chi amministra Mac. Alcuni strumenti da riga di comando su macOS possono ancora accettare i certificati compromessi, finché non arriverà un aggiornamento con la correzione. La data non è stata comunicata.
Apple suggerisce intanto di rimuovere i certificati radice della CA dal file /etc/ssl/cert.pem. Non è un’operazione da fare per curiosità: quel file raccoglie le autorità fidate usate da curl, wget e da parecchi script. Modificarlo a mano può rompere programmi che si aspettano un elenco standard. Le modifiche possono anche essere sovrascritte al prossimo update, quindi chi amministra server dovrebbe pianificare l’intervento.
Cosa fare, in pratica
Se usi iPhone, iPad o Mac come utente normale, niente. Il blocco è già attivo. Se un sito legittimo smette di caricare, il problema è suo: sta usando un certificato revocato e deve sostituirlo.
Su Android e Chrome il blocco è gestito dai rispettivi aggiornamenti. Il caso eMudhra non è isolato: nel 2026 la fiducia nelle autorità di certificazione è già finita sotto esame più volte, come dimostrano gli avvisi sui siti sospetti introdotti da Chrome. Un certificato scaduto è un fastidio, un certificato compromesso è un problema di sicurezza.
Domande frequenti
Devo aggiornare il mio iPhone?
No. Il blocco è attivo dal 19 ottobre e non richiede un aggiornamento software. Apple lo applica lato sistema, quindi vale anche per le app che non sono state toccate.
Il mio sito usa eMudhra, che succede?
Chi lo visita da Safari, da Mail o da app basate sui framework Apple vedrà un avviso di connessione non sicura. Va sostituito con un certificato emesso da un’autorità non coinvolta.
Posso controllare dal telefono se un certificato è compromesso?
No, le liste di revoca le gestiscono i vendor. Puoi però controllare l’autorità emittente dal lucchetto e verificare che il dominio sia quello che ti aspetti.
Le chiavi sono state rubate?
No, erano deboli. La differenza conta: una chiave rubata presuppone un accesso indebito, una chiave debole può essere ricavata dal nulla con abbastanza calcolo. Per questo il caso è grave anche senza sfruttamento.
Riguarda solo i siti indiani?
eMudhra è un’autorità indiana, ma i suoi certificati erano fidati a livello globale. Il blocco vale ovunque, non solo per i domini che finiscono in .in.
La sicurezza del web si regge su una catena di deleghe. Basta un anello con una chiave fiacca per far tremare tutto il resto. Apple ha chiuso il varco nei suoi framework in pochi giorni. Il terminale dei Mac aspetta ancora. C’è un motivo se sempre più persone scelgono il DNS privato.