iOS < 4.3.5 correctif pour la vulnérabilité SSL (CVE-2011-0228)

Journal des modifications

v1.2 : Liste noire DigiNotar
v1.1 : correction du bug de faux positifs répétés de leaf
v1.0 : version initiale

Paquets Deb

https://github.com/jan0/isslfix/downloads

83aa7a01f4377d3e5ec2e1af9c99602a isslfix_1.2.deb Paquet cydia 1.2

daa5c6efae5b36690153e715712e265e isslfix_1.1.deb Paquet cydia 1.1 (identique au fix1)

51560b2e1cc888f708c8c84c62be75a5 isslfix-fix1.deb Paquet de test pour la correction des faux positifs répétés de leaf

eee21f50d677a1edd6b8700f045e60f7 isslfix_1.0.deb Paquet cydia 1.0 actuel dans cydia

df580a7179b24ca1dfdd637cbcdf8062 isslfix.deb Version 1.0 soumise à cydia

f22887c41bc9c663f6a181c2e8e9fd03 isslfix-test3.deb Version de test, sans la liste noire Comodo

Test

Avertissement : sauvegardez votre appareil avant l'installation au cas où quelque chose se passerait mal...

dpkg -i isslfix.deb
launchctl unload /System/Library/LaunchDaemons/com.apple.securityd.plist
launchctl load /System/Library/LaunchDaemons/com.apple.securityd.plist

Visitez https://issl.recurity.com pour vérifier si cela fonctionne.

Si vous avez déjà visité cette page sans le correctif appliqué, rechargez la page ou videz le cache de Safari.

Vous devriez voir la fenêtre contextuelle « Cannot Verify Server Identity » et ce message dans syslog :

<Warning>: iSSLFix: Certificate <1BDC0A9E-7FC6-4BA4-A9E5-41F206B82D81> in chain starting at <issl.recurity.com> has isCA=0 => possible MITM attempt, making validation fail

Étant donné que securityd est redémarré, les processus et démons existants perdront leur « connexion » à celui-ci et la plupart des appels au framework Security (Keychain, validation de certificat, etc.) échoueront : iTunes ne pourra pas se connecter à l'appareil, les applications ne pourront pas accéder au trousseau, etc. Ces problèmes devraient disparaître après un redémarrage de l'appareil.

Si securityd a planté (vérifiez /Library/Logs/CrashReporter/), supprimez le paquet (dpkg -r isslfix) avant de redémarrer.

Liste noire des certificats volés Comodo

Pour les appareils avec des firmwares plus anciens, la liste noire ajoutée dans iOS 4.3.2 est reproduite (voir blacklist.c et comodo.h).

Liste noire des CA DigiNotar

Les clés publiques des certificats suivants sont mises sur liste noire dans v1.2

DigiNotar Root CA (88 68 bf e0 8e 35 c4 3b 38 6b 62 f7 28 3b 84 81 c8 0c d7 4d)
DigiNotar Cyber CA (ab f9 68 df cf 4a 37 d7 7b 45 8c 5f 72 de 40 44 c3 65 bb c2)
DigiNotar Services 1024 CA (fe dc 94 49 0c 6f ef 5c 7f c6 f1 12 99 4f 16 49 ad fb 82 65)
DigiNotar PKIoverheid CA Organisatie - G2 (bc 5d 94 3b d9 ab 7b 03 25 73 61 c2 db 2d ee fc ab 8f 65 a1)
DigiNotar Root CA G2 (29 0d db 3f 07 52 e5 0b d4 21 68 2e 24 4a de 5b 5a 96 f2 21)