iOS < 4.3.5 fix for SSL vulnerability (CVE-2011-0228)

Registro de cambios

v1.2 : lista negra de DigiNotar
v1.1 : corrección del error de falsos positivos repetidos en certificados hoja
v1.0 : versión inicial

Paquetes .deb

https://github.com/jan0/isslfix/downloads

83aa7a01f4377d3e5ec2e1af9c99602a isslfix_1.2.deb paquete 1.2 para cydia

daa5c6efae5b36690153e715712e265e isslfix_1.1.deb paquete 1.1 en cydia (igual que fix1)

51560b2e1cc888f708c8c84c62be75a5 isslfix-fix1.deb paquete de prueba para la corrección de falsos positivos repetidos en certificados hoja

eee21f50d677a1edd6b8700f045e60f7 isslfix_1.0.deb paquete 1.0 real de cydia en cydia

df580a7179b24ca1dfdd637cbcdf8062 isslfix.deb versión 1.0 enviada a cydia

f22887c41bc9c663f6a181c2e8e9fd03 isslfix-test3.deb versión de prueba, sin la lista negra de comodo

Pruebas

Advertencia: haz una copia de seguridad de tu dispositivo antes de instalar por si algo sale mal...

dpkg -i isslfix.deb
launchctl unload /System/Library/LaunchDaemons/com.apple.securityd.plist
launchctl load /System/Library/LaunchDaemons/com.apple.securityd.plist

Visita https://issl.recurity.com para comprobar si funciona.

Si ya visitaste esta página sin el parche aplicado, recarga la página o borra la caché de Safari.

Deberías ver la ventana emergente "Cannot Verify Server Identity" y este mensaje en syslog:

<Warning>: iSSLFix: Certificate <1BDC0A9E-7FC6-4BA4-A9E5-41F206B82D81> in chain starting at <issl.recurity.com> has isCA=0 => possible MITM attempt, making validation fail

Debido a que securityd se reinicia, los procesos y demonios existentes perderán su "conexión" con él y la mayoría de las llamadas al framework de Security (Keychain, validación de certificados, etc.) fallarán: iTunes no podrá conectarse al dispositivo, las aplicaciones no podrán acceder al llavero, etc. Estos problemas deberían desaparecer tras reiniciar el dispositivo.

Si securityd se bloqueó (revisa /Library/Logs/CrashReporter/), elimina el paquete (dpkg -r isslfix) antes de reiniciar.

Lista negra de certificados robados de Comodo

Para dispositivos con firmware más antiguo, se replica la lista negra añadida en iOS 4.3.2 (consulta blacklist.c y comodo.h).

Lista negra de CAs DigiNotar

Las claves públicas de los siguientes certificados están en la lista negra en v1.2

DigiNotar Root CA (88 68 bf e0 8e 35 c4 3b 38 6b 62 f7 28 3b 84 81 c8 0c d7 4d)
DigiNotar Cyber CA (ab f9 68 df cf 4a 37 d7 7b 45 8c 5f 72 de 40 44 c3 65 bb c2)
DigiNotar Services 1024 CA (fe dc 94 49 0c 6f ef 5c 7f c6 f1 12 99 4f 16 49 ad fb 82 65)
DigiNotar PKIoverheid CA Organisatie - G2 (bc 5d 94 3b d9 ab 7b 03 25 73 61 c2 db 2d ee fc ab 8f 65 a1)
DigiNotar Root CA G2 (29 0d db 3f 07 52 e5 0b d4 21 68 2e 24 4a de 5b 5a 96 f2 21)