SSL Patch (CVE-2014-1266)

Copyright (c) 2014 Linus Yang

Introduction

CVE-2014-1266, également connue sous le nom de « goto fail exploitation de la vérification SSL », est une faille SSL/TLS très grave sur iOS et OS X. Apple a publié iOS 6.1.6 et 7.0.6 pour corriger ce problème, mais a ignoré certains utilisateurs qui ne peuvent pas ou ne souhaitent pas mettre à jour leur système vers iOS 7 (par exemple, les utilisateurs d’appareils plus anciens, ou les détracteurs d’iOS 7 :P).

Voici enfin une solution élégante, spécialement pour les utilisateurs de jailbreak iOS : un tweak Cydia Substrate qui corrige cette vulnérabilité SSL. Ce tweak est une correction à l’exécution qui ne modifie aucun fichier système, donc très sûr d’emploi.

Pour installer ce correctif, vous pouvez

• Ajouter le dépôt http://yangapp.googlecode.com/svn à Cydia, puis rechercher et installer « SSL Patch »,
• Ou télécharger manuellement depuis l’onglet Release et installer via iFile ou dpkg.

Après installation, vous pouvez utiliser Safari pour vérifier si le correctif fonctionne en visitant les sites suivants :

• « Goto Fail » : gotofail.com
• « Adam Langley’s Weblog » : imperialviolet.org (Si Safari ne peut pas ouvrir cette page, le correctif fonctionne.)

Si vous rencontrez un problème après avoir installé ce tweak, désinstallez‑le simplement dans Cydia.

Référence

Analyse d’Adam Langley