Base de Connaissances

Description

À la suite d’une précédente mise à jour, Apple a publié, le 10 septembre 2021, une mise à jour des systèmes macOS, iOS et iPadOS visant à retirer complètement la confiance accordée à certains certificats racines Symantec et VeriSign répertoriés dans la section Certificats concernés et à les supprimer de l’écosystème Apple.

Le 31 janvier 2022, Apple prévoit de publier une autre mise à jour des systèmes macOS, iOS et iPadOS afin de retirer complètement la confiance accordée à cinq autres certificats racines Symantec et VeriSign répertoriés dans la section Certificats concernés et de les supprimer de l’écosystème Apple.

Remarque: La suppression des certificats racines bloque les certificats qui leur sont chaînés et les empêche de fonctionner comme prévu sur les appareils Apple. Elle empêche également la réinstallation des certificats racines "supprimés" sur un appareil Apple.
 

Quelles sont les conséquences pour mes certificats?

• Les certificats chaînés aux racines Symantec et VeriSign ne sont plus approuvés sur les appareils Apple.
• Les e-mails, le code, les documents et les autres types de fichiers signés à l’aide de certificats client, S/MIME, de signature de code et de signature de documents émis à partir de ces racines ne seront plus approuvés sur les appareils Apple.
• Les conséquences peuvent aller au-delà du retrait de confiance, car les fonctions cryptographiques (notamment la capacité à déchiffrer un message chiffré) sont également bloquées.

Remarque: Ces mêmes certificats continueront de fonctionner comme prévu sur les autres systèmes d’exploitation et appareils. Pour récupérer des données chiffrées, vous devrez y accéder depuis d’autres systèmes ou des appareils autres que ceux d’Apple.

Si votre application utilise des certificats signés avec une chaîne qui n’est plus approuvée et repose sur un processus d’injection d’application ou de certificat en dehors du processus Apple Developer Certificate, vous devrez migrer vers une chaîne de certificats de confiance. Cela concerne également les systèmes prenant en charge la mise à jour des applications sur différentes plateformes d’appareils partagés.

Dans ces situations, l’appel à l’API Apple Services (SecTrustEvaluate) renvoie une erreur liée à "kSecTrustResultFatalTrustFailure." Ce message d’erreur indique que le certificat et sa chaîne ont été bloqués ou mal interprétés par le système. 
 

Contexte

En 2018, Apple a annoncé son intention de procéder à un retrait partiel de la confiance accordée aux certificats racines Symantec et des marques Symantec. Le retrait complet de la confiance accordée à certaines de ces racines était prévu pour le 25 février 2020. Parallèlement, le retrait de confiance d’autres racines était prévu pour 2023.

Cependant, certaines parties de ce processus ont été retardées, tandis que d’autres ont été accélérées. Apple a achevé le retrait complet de la confiance accordée aux certificats racines. Toutefois, la suppression des racines et le retrait de confiance des certificats qui en découle ne font que commencer.

Remarque: La suppression des certificats racines entraîne des erreurs lors de l’exécution d’applications signées avec les certificats concernés.

Quand le retrait de confiance commencera-t-il?

• Le 10 septembre 2021, Apple a retiré sa confiance à plusieurs certificats racines Symantec et VeriSign.  La suppression de ces racines par Apple n’est pas une nouveauté. Cette opération était prévue depuis 2017 et ces modifications devaient initialement être déployées en avril 2021.
• Le 31 janvier 2022, Apple retirera sa confiance à cinq autres certificats racines Symantec et VeriSign. Apple accélère la suppression de ces cinq racines. Le retrait de confiance de ces certificats racines était initialement prévu en 2023.
   

Certificats concernés

Retrait de confiance des certificats racines du 31 janvier 2022

• VeriSign Class 1 Public Primary Certification Authority – G3
• VeriSign Class 2 Public Primary Certification Authority - G3
• Symantec Class 1 Public Primary Certification Authority – G6
• Symantec Class 2 Public Primary Certification Authority – G6
• VeriSign Universal Root Certification Authority
   

Retrait de confiance des certificats racines du 10 septembre 2021

• VeriSign Class 3 Public Primary Certification Authority - G4
• VeriSign Class 3 Public Primary Certification Authority - G5
• Symantec Class 3 Public Primary Certification Authority - G4
• Symantec Class 3 Public Primary Certification Authority - G6
• GeoTrust Global CA
• thawte Primary Root CA
• GeoTrust Primary Certification Authority
• thawte Primary Root CA - G2
• thawte Primary Root CA - G3
• GeoTrust Primary Certification Authority - G2
• GeoTrust Primary Certification Authority - G3
• Symantec Class 1 Public Primary Certification Authority - G4
• Symantec Class 2 Public Primary Certification Authority - G4
• VeriSign Class 3 Public Primary Certification Authority - G3
   

Foire aux questions (FAQ)

Que se passe-t-il actuellement?

• Apple a retiré sa confiance à plusieurs certificats racines le 10 septembre 2021; consultez la section Certificats concernés ci-dessus.
• Apple retirera sa confiance à cinq autres certificats racines le 31 janvier 2022; consultez la section Certificats concernés ci-dessus.

Chaque phase commence par la suppression des certificats racines des magasins de certificats d’iOS, d’iPadOS et de macOS, puis par le blocage de leur installation manuelle sur les appareils Apple ou dans la bibliothèque PKI d’Apple.

Qu’est-ce qui a changé? 

Nous avions précédemment communiqué le calendrier de retrait de confiance des certificats racines et l’avions publié dans notre article de la base de connaissances sur la suppression des racines Symantec. Toutefois, nous disposons désormais d’informations supplémentaires concernant ces modifications, à la suite des nouvelles mises à jour fournies par Apple. Apple accélère son projet de suppression de cinq autres racines Symantec (y compris VeriSign) au 31 janvier 2022, au lieu de 2023.

En quoi cela diffère-t-il des précédentes opérations de retrait de confiance?

Chaque magasin de certificats racines met en œuvre la suppression des racines Symantec de manière différente:

• Certains magasins de certificats racines suppriment directement les certificats racines. 
• D’autres magasins de certificats racines définissent une date notBefore à partir de laquelle les certificats émis par ces racines ne sont plus approuvés.  

Apple supprime et bloque les autorités de certification émettrices dont la chaîne remonte à ces racines dans ses magasins de certificats racines. La suppression des racines signifie que tous les certificats émis à partir de ces racines ainsi que tous les objets signés à l’aide de certificats émis à partir de ces racines ne seront plus approuvés sous macOS et iOS. Le blocage signifie que les certificats racines ne peuvent pas être réinstallés sur les appareils Apple ou dans la bibliothèque PKI d’Apple.

Par conséquent, si votre implémentation nécessite la confiance d’Apple, vous devez réémettre les certificats en utilisant la hiérarchie DigiCert et signer à nouveau les objets (code, documents, e-mails, etc.). 
 

Pourquoi dois-je me préoccuper de mes certificats expirés? Ils ne sont probablement plus nécessaires et ne peuvent plus être utilisés, n’est-ce pas? 

Lorsque vous utilisez un certificat pour signer des objets, la signature peut rester valide après l’expiration du certificat utilisé pour signer l’objet.

Par exemple, si vous incluez un horodatage valide dans votre signature, celle-ci reste valide tant qu’elle peut être reliée au certificat racine dont elle dépend. L’horodatage repose sur le certificat racine pour valider l’objet signé, et non sur le certificat expiré utilisé pour le signer.

Comme Apple supprime les racines, les signatures ne peuvent plus être reliées au certificat racine depuis les appareils Apple. Lorsque la signature ne peut pas atteindre la racine, la validation de la chaîne de certificats échoue. Une fois les racines supprimées par Apple, les objets signés risquent de ne plus fonctionner comme prévu. 

Remarque: La suppression effectuée par Apple vous empêche également d’installer manuellement le certificat racine dans votre écosystème Apple, y compris lorsque vous utilisez des certificats intermédiaires à chaînes croisées qui remontent aux chaînes racines Symantec et VeriSign.   

Pour les certificats expirés, aurai-je besoin d’un nouveau certificat pour signer à nouveau les objets?

Oui, vous aurez besoin d’un nouveau certificat de confiance. Les signatures horodatées n’étant plus reconnues, vous devrez signer à nouveau le code à l’aide d’un certificat émis à partir d’une racine de confiance afin de rétablir la confiance dans vos applications.

Remarque: Nous vous recommandons de signer UNIQUEMENT avec une chaîne de confiance, plutôt que d’ajouter une seconde signature provenant d’une chaîne de confiance à un code déjà signé avec une chaîne héritée.