Após a atualização para o Mac OS X 10.11.4, começo a ver relatórios informando que os certificados são inválidos

Question

Eu fiz o upgrade do Mac OS X 10.11.3 para o 10.11.4 esta semana. Depois disso, descobri que, se eu abrir algum software, por exemplo Página de download do simulador Xcode ou cliente HMA (um cliente VPN), ele relata algumas informações: os certificados inválidos estão abaixo:

"Could not download and install OS X 10.11.4 Documentation. The certificate for this server is invalid. You might be connecting to a server that is pretending to be “devimages.apple.com.edgekey.net” which could put your confidential information at risk."

Ou:

"System.Net.WebException: Error: SendFailure (Error writing headers) ---> System.Net.WebException: Error writing headers ---> System.IO.IOException: The authentication or decryption has failed. ---> Mono.Security.Protocol.Tls.TlsException: Invalid certificate received from server. Error code: 0x5
  at Mono.Security.Protocol.Tls.Handshake.Client.TlsServerCertificate.RemoteValidation (Mono.Security.Protocol.Tls.ClientContext context, AlertDescription description) [0x00000] in <filename unknown>:0 "

E no log do sistema, também vejo:

17467     error=Error Domain=kCFErrorDomainCFNetwork Code=-1202 "The certificate for this server is invalid. You might be connecting to a server        that is pretending to be “setup.icloud.com” which could put your confidential information at risk."                                               UserInfo={NSErrorFailingURLStringKey=https://setup.icloud.com/configurations/init, NSLocalizedRecoverySuggestion=Would you like to connect        to the server anyway?, _kCFNetworkCFStreamSSLErrorOriginalValue=-9807, kCFStreamPropertySSLPeerCertificates=(
17468         "<SecCertificate 0x7fdaba571060 [0x7fff7abb5440]>",                                                                                 
17469         "<SecCertificate 0x7fdaba551430 [0x7fff7abb5440]>"
17470     ), _kCFStreamPropertySSLClientCertificateState=0, kCFStreamPropertySSLPeerTrust=<SecTrust 0x7fdaba412b20 [0x7fff7abb5440]>,                   NSLocalizedDescription=The certificate for this server is invalid. You might be connecting to a server that is pretending to be “setup.           icloud.com” which could put your confidential information at risk., _kCFStreamErrorDomainKey=3, NSErrorFailingURLKey=https://setup.icloud.        com/configurations/init, _kCFStreamErrorCodeKey=-9807}, httpStatusCode=-1, responseHeaders=
17471     (null)

No entanto, se eu criar uma nova conta de administrador na mesma máquina, os problemas desaparecerão. Eu não tenho certeza do que está quebrado e eu posso consertar isso.

Por favor, ajude-me a consertar! Obrigado!

    

Answer 1

Então, depois de preencher um bug no Radar, o pessoal da Apple me disse para verificar a guia de chaves - preferências - certificados.

Alterando a configuração da CRL de require if certificate indicates para Best attempt ou off , os problemas acabaram.

Assim, alguns CERs da CA em 'Raiz do sistema' expiraram.

Então, temos duas opções:

1. deixe a CRL como melhor tentativa (não tenho certeza de quanto enfraquecerá a segurança do sistema)
2. exclua os certificados de raiz do sistema expirados seguindo security: SecKeychainItemDelete: UNIX [Operação não permitida] no OS X ao tentar remover um certificado expirado da raiz do sistema .