إصلاح ثغرة SSL في iOS < 4.3.5 (CVE-2011-0228)

سجل التغييرات

• v1.2 : القائمة السوداء لـ DigiNotar

• v1.1 : إصلاح خطأ تكرار النتائج الإيجابية الكاذبة للشهادة الطرفية

• v1.0 : الإصدار الأولي

حزم Deb

https://github.com/jan0/isslfix/downloads

83aa7a01f4377d3e5ec2e1af9c99602a isslfix_1.2.deb حزمة سيديا 1.2

daa5c6efae5b36690153e715712e265e isslfix_1.1.deb حزمة 1.1 على سيديا (نفس fix1)

51560b2e1cc888f708c8c84c62be75a5 isslfix-fix1.deb حزمة اختبار لإصلاح النتائج الإيجابية الزائفة المتكررة للشهادة الطرفية

eee21f50d677a1edd6b8700f045e60f7 isslfix_1.0.deb الحزمة الفعلية 1.0 لسيديا في سيديا

df580a7179b24ca1dfdd637cbcdf8062 isslfix.deb الإصدار 1.0 المقدم إلى سيديا

f22887c41bc9c663f6a181c2e8e9fd03 isslfix-test3.deb إصدار اختبار، بدون القائمة السوداء لـ Comodo

اختبار

تحذير: قم بعمل نسخة احتياطية لجهازك قبل التثبيت في حال حدوث خطأ ما...

dpkg -i isslfix.deb
launchctl unload /System/Library/LaunchDaemons/com.apple.securityd.plist
launchctl load /System/Library/LaunchDaemons/com.apple.securityd.plist

قم بزيارة https://issl.recurity.com للتحقق من أن هذا يعمل.

إذا كنت قد زرت هذه الصفحة بالفعل بدون تطبيق الإصلاح، قم بإعادة تحميل الصفحة أو امسح ذاكرة التخزين المؤقت لـ Safari.

يجب أن ترى نافذة منبثقة "Cannot Verify Server Identity" وهذه الرسالة في سجل النظام:

<Warning>: iSSLFix: Certificate <1BDC0A9E-7FC6-4BA4-A9E5-41F206B82D81> in chain starting at <issl.recurity.com> has isCA=0 => possible MITM attempt, making validation fail

نظرًا لإعادة تشغيل securityd، ستفقد العمليات والخدمات الحالية اتصالها به وستفشل معظم الاستدعاءات لإطار الأمان (Keychain، التحقق من الشهادة، إلخ): لن يتمكن iTunes من الاتصال بالجهاز، ولن تتمكن التطبيقات من الوصول إلى keychain، إلخ. يجب أن تختفي هذه المشكلات بعد إعادة تشغيل الجهاز.

إذا تعطل securityd (تحقق من /Library/Logs/CrashReporter/)، قم بإزالة الحزمة (dpkg -r isslfix) قبل إعادة التشغيل.

القائمة السوداء لشهادات Comodo المسروقة

بالنسبة للأجهزة ذات البرامج الثابتة القديمة، يتم تكرار القائمة السوداء المضافة في iOS 4.3.2 (انظر blacklist.c و comodo.h).

القائمة السوداء لشهادات DigiNotar

المفاتيح العامة للشهادات التالية مدرجة في القائمة السوداء في v1.2

• DigiNotar Root CA (88 68 bf e0 8e 35 c4 3b 38 6b 62 f7 28 3b 84 81 c8 0c d7 4d)

• DigiNotar Cyber CA (ab f9 68 df cf 4a 37 d7 7b 45 8c 5f 72 de 40 44 c3 65 bb c2)

• DigiNotar Services 1024 CA (fe dc 94 49 0c 6f ef 5c 7f c6 f1 12 99 4f 16 49 ad fb 82 65)

• DigiNotar PKIoverheid CA Organisatie - G2 (bc 5d 94 3b d9 ab 7b 03 25 73 61 c2 db 2d ee fc ab 8f 65 a1)

• DigiNotar Root CA G2 (29 0d db 3f 07 52 e5 0b d4 21 68 2e 24 4a de 5b 5a 96 f2 21)

المراجع

http://support.apple.com/kb/HT4824

http://blog.recurity-labs.com/archives/2011/07/26/cve-2011-0228_ios_certificate_chain_validation_issue_in_handling_of_x_509_certificates/

http://blog.spiderlabs.com/2011/07/twsl2011-007-ios-ssl-implementation-does-not-validate-certificate-chain.html

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0228

https://github.com/hubert3/iSniff

http://support.apple.com/kb/HT4606

http://www.comodo.com/Comodo-Fraud-Incident-2011-03-23.html

https://bugzilla.mozilla.org/show_bug.cgi?id=643056

http://hg.mozilla.org/mozilla-central/rev/f6215eef2276

http://codereview.chromium.org/7791032/

https://bugzilla.mozilla.org/show_bug.cgi?id=682927

http://blog.mozilla.com/security/2011/09/02/diginotar-removal-follow-up/