iOS < 4.3.5 Fix für SSL-Sicherheitslücke (CVE-2011-0228)

Änderungsprotokoll

v1.2 : DigiNotar-Sperrliste
v1.1 : Fehlerbehebung für wiederholte Fehlalarme von Blattzertifikaten
v1.0 : Erstveröffentlichung

Deb-Pakete

https://github.com/jan0/isslfix/downloads

83aa7a01f4377d3e5ec2e1af9c99602a isslfix_1.2.deb 1.2 Cydia-Paket

daa5c6efae5b36690153e715712e265e isslfix_1.1.deb 1.1 Paket auf Cydia (identisch mit fix1)

51560b2e1cc888f708c8c84c62be75a5 isslfix-fix1.deb Testpaket für die Behebung wiederholter Fehlalarme von Blattzertifikaten

eee21f50d677a1edd6b8700f045e60f7 isslfix_1.0.deb tatsächliches 1.0 Cydia-Paket in Cydia

df580a7179b24ca1dfdd637cbcdf8062 isslfix.deb Version 1.0 an Cydia übermittelt

f22887c41bc9c663f6a181c2e8e9fd03 isslfix-test3.deb Testversion ohne die Comodo-Sperrliste

Testen

Warnung: Sichern Sie Ihr Gerät vor der Installation, falls etwas schiefgeht ...

dpkg -i isslfix.deb
launchctl unload /System/Library/LaunchDaemons/com.apple.securityd.plist
launchctl load /System/Library/LaunchDaemons/com.apple.securityd.plist

Besuchen Sie https://issl.recurity.com, um zu überprüfen, ob es funktioniert.

Wenn Sie diese Seite bereits ohne angewendeten Fix besucht haben, laden Sie die Seite neu oder leeren Sie den Safari-Cache.

Sie sollten das Popup „Cannot Verify Server Identity“ sehen und diese Meldung im syslog:

<Warning>: iSSLFix: Certificate <1BDC0A9E-7FC6-4BA4-A9E5-41F206B82D81> in chain starting at <issl.recurity.com> has isCA=0 => possible MITM attempt, making validation fail

Da securityd neu gestartet wird, verlieren bestehende Prozesse und Dämonen ihre Verbindung zu ihm und die meisten Aufrufe des Security-Frameworks (Keychain, Zertifikatsvalidierung usw.) schlagen fehl: iTunes kann keine Verbindung zum Gerät herstellen, Apps können nicht auf die Schlüsselbundverwaltung zugreifen usw. Diese Probleme sollten nach einem Neustart des Geräts verschwinden.

Falls securityd abgestürzt ist (überprüfen Sie /Library/Logs/CrashReporter/), entfernen Sie das Paket (dpkg -r isslfix) vor dem Neustart.

Comodo-Sperrliste für gestohlene Zertifikate

Für Geräte mit älteren Firmware-Versionen wird die in iOS 4.3.2 hinzugefügte Sperrliste repliziert (siehe blacklist.c und comodo.h).

DigiNotar-CA-Sperrliste

Die öffentlichen Schlüssel der folgenden Zertifikate sind in v1.2 gesperrt

DigiNotar Root CA (88 68 bf e0 8e 35 c4 3b 38 6b 62 f7 28 3b 84 81 c8 0c d7 4d)
DigiNotar Cyber CA (ab f9 68 df cf 4a 37 d7 7b 45 8c 5f 72 de 40 44 c3 65 bb c2)
DigiNotar Services 1024 CA (fe dc 94 49 0c 6f ef 5c 7f c6 f1 12 99 4f 16 49 ad fb 82 65)
DigiNotar PKIoverheid CA Organisatie - G2 (bc 5d 94 3b d9 ab 7b 03 25 73 61 c2 db 2d ee fc ab 8f 65 a1)
DigiNotar Root CA G2 (29 0d db 3f 07 52 e5 0b d4 21 68 2e 24 4a de 5b 5a 96 f2 21)