Safari a některé nástroje příkazové řádky nemusí stejnému certifikátu důvěřovat stejně. Po kompromitaci certifikačních autorit eMudhra Apple upozornil na rozdíl, který se týká zejména správců a vývojářů.

Podle oznámení Applu z 23. října unikly soukromé klíče osmi zprostředkujících certifikačních autorit eMudhra. Šest z nich vydávalo TLS certifikáty. Držitel takového klíče může vytvořit certifikát, který zdánlivě potvrzuje pravost libovolného webu. Zbývající dvě autority vydávaly certifikáty pro podepisování kódu, jimž bezpečnostní rozhraní Applu nedůvěřují.

Apple začal dotčené TLS certifikáty blokovat 19. října prostřednictvím automatických aktualizací certifikační konfigurace. Safari, Mail a aplikace využívající jeho síťová a bezpečnostní rozhraní tuto ochranu přebírají bez instalace nové verze operačního systému. Dne 23. října přibyla také blokace kořenové autority emSign ECC Root CA – G3.

Část nástrojů dodávaných s macOS nebo Xcode Command Line Tools však ověřuje certifikáty podle souboru /etc/ssl/cert.pem. Apple mezi příklady uvádí curl, git, python3, ruby, perl a openssl. U řetězců vedoucích ke kořenům v tomto souboru tyto nástroje nezohledňují systémovou blokaci Applu ani odvolání certifikátu. Mohou proto přijmout certifikát, který prohlížeč už odmítne. Některé další aplikace navíc používají vlastní seznam důvěryhodných autorit a vyžadují kontrolu u jejich dodavatele.

Výrobce připravuje aktualizaci také pro úložiště používané nástroji příkazové řádky. Do té doby nabízí správcům postup, jak po vytvoření zálohy odstranit příslušné kořenové certifikáty. Nestačí přitom uvažovat jen o emSign: šest dotčených autorit má také křížově podepsané certifikáty vedoucí ke kořeni AAA Certificate Services. Jeho odstranění může ovšem přerušit důvěru i k legitimním webům využívajícím jiné, nekompromitované mezilehlé autority.