TestableSecurity

هذا إثبات مفهوم صغير يستخرج دالة SSLVerifySignedServerKeyExchange() الضعيفة من مكتبة libsecurity_ssl من Apple لإظهار أن كود التوقيع قابل للاختبار الوحدوي بسهولة بشكل منفصل.

بينما كان هناك بعض الحديث أن هذا الخطأ لم يكن من السهل اختباره، فإن الكود المعني يتحقق من التوقيعات بناءً على شروط مسبقة مباشرة، وهو قابل للاختبار بسهولة لكل من حالات التحقق الإيجابية والسلبية؛ لا يوجد سبب أو عذر لعدم اختباره بشكل كامل من أجل:

• clientRandom غير صحيح.
• serverRandom غير صحيح.
• signedParams غير صحيح.
• توقيع غير صحيح (وهو مكافئ بشكل أساسي لأي مما سبق).

حاول تشغيل اختبارات الوحدة بنفسك، ثم قم ببساطة بتعليق 'goto' الخاطئ لترى الاختبارات تنجح:

if ((err = SSLHashSHA1.update(&hashCtx, &signedParams)) != 0)
    goto fail;
// goto fail;