Inspect

macOS CA 信任漂移守門員（2026-10-29）

eMudhra 中間 CA 私鑰外洩後，Apple 的 /etc/ssl/cert.pem 仍信任受影響憑證（Apple git 仍信任）；社群回報手動移除後 macOS 更新會讓舊 bundle 回復，pip3 與 Xcode python 仍信任已外洩根憑證（自帶 2021 …

發布 2026-10-29 09:21收集 2026-10-29 08:02
原始來源emudhra.we-have-a-problem.com

macOS CA 信任漂移守門員

  • 日期：2026-10-29
  • 來源主題：last30days-weekly
  • 已知近似作品：社群腳本與檢查頁：snelson.us 的 Jamf Pro 修補文與腳本（r/macsysadmin 2026-10-21）、galadran/we-have-a-problem.com 檢查頁（GitHub issue #45、#65）、各人 dotfiles PR（shyamsalimkumar/dotfiles#65）。皆為單次檢查或一次性修補指令，未見持續監控並在 OS 更新後回報回復的成熟產品。
  • 選題建議：證據：galadran/we-have-a-problem.com#45 留言 vszakats 表示「still seeing the obsolete bundle to reappear after every macOS update」；r/jamf 更新指出單次測試 macOS 27.2 (26B123) 仍需修補；r/macsysadmin PSA（2026-10-28，38 pts）指 /usr/bin/pip3 與 Xcode python 仍信任外洩根憑證。既有腳本解的是一次性修補，痛點是修了又回，需要持續守門。
  • 類別：資安／macOS 系統管理

所遇到的問題

eMudhra 中間 CA 私鑰外洩後，Apple 的 /etc/ssl/cert.pem 仍信任受影響憑證（Apple git 仍信任）；社群回報手動移除後 macOS 更新會讓舊 bundle 回復，pip3 與 Xcode python 仍信任已外洩根憑證（自帶 2021 年 certifi）。

可開發的 APP 主題

macOS CA 信任漂移守門員

這支 APP 能做到什麼

  • 逐一比對 curl、git、python3、openssl、pip 與 Xcode Python 實際使用的 CA 束，標示仍信任受影響中介 CA 的工具
  • 在 macOS 更新後重跑比對，偵測 cert.pem 被還原的情況並留下時間軸
  • 修補前先備份、修補後重新測試，並提供一鍵回滾
  • 輸出可交給 MDM（Jamf／Kandji／Intune）的合規報告，列出仍需人工處理的工具與版本

核心差異／備註

持續比對 CA 信任漂移並在 OS 更新後回報回復，而非一次性修補腳本。