iOS < 4.3.5 correção para vulnerabilidade SSL (CVE-2011-0228)

Registo de alterações

v1.2 : Lista negra DigiNotar
v1.1 : correção do bug de falsos positivos repetidos de leaf
v1.0 : lançamento inicial

Pacotes Deb

https://github.com/jan0/isslfix/downloads

83aa7a01f4377d3e5ec2e1af9c99602a isslfix_1.2.deb 1.2 cydia package

daa5c6efae5b36690153e715712e265e isslfix_1.1.deb 1.1 package on cydia (same as fix1)

51560b2e1cc888f708c8c84c62be75a5 isslfix-fix1.deb test package for repeated leaf false positives fix

eee21f50d677a1edd6b8700f045e60f7 isslfix_1.0.deb actual 1.0 cydia package in cydia

df580a7179b24ca1dfdd637cbcdf8062 isslfix.deb version 1.0 submitted to cydia

f22887c41bc9c663f6a181c2e8e9fd03 isslfix-test3.deb test version, without the comodo blacklist

Teste

Aviso : faça backup do seu dispositivo antes de instalar, caso algo dê errado ...

dpkg -i isslfix.deb
launchctl unload /System/Library/LaunchDaemons/com.apple.securityd.plist
launchctl load /System/Library/LaunchDaemons/com.apple.securityd.plist

Visite https://issl.recurity.com para verificar se está funcionando.

Se já visitou esta página sem a correção aplicada, recarregue a página ou limpe o cache do Safari.

Você deve ver o popup "Cannot Verify Server Identity" e esta mensagem no syslog :

<Warning>: iSSLFix: Certificate <1BDC0A9E-7FC6-4BA4-A9E5-41F206B82D81> in chain starting at <issl.recurity.com> has isCA=0 => possible MITM attempt, making validation fail

Como o securityd é reiniciado, processos e daemons existentes perderão a "conexão" com ele e a maioria das chamadas ao framework Security (Keychain, validação de certificados, etc) falhará : o iTunes não conseguirá conectar ao dispositivo, os aplicativos não conseguirão acessar o keychain, etc. Esses problemas devem desaparecer após uma reinicialização do dispositivo.

Se o securityd travou (verifique /Library/Logs/CrashReporter/), remova o pacote (dpkg -r isslfix) antes de reiniciar.

Lista negra de certificados roubados da Comodo

Para dispositivos com firmwares mais antigos, a lista negra adicionada no iOS 4.3.2 é replicada (veja blacklist.c e comodo.h).

Lista negra de CAs DigiNotar

As chaves públicas dos seguintes certificados estão na lista negra na v1.2

DigiNotar Root CA (88 68 bf e0 8e 35 c4 3b 38 6b 62 f7 28 3b 84 81 c8 0c d7 4d)
DigiNotar Cyber CA (ab f9 68 df cf 4a 37 d7 7b 45 8c 5f 72 de 40 44 c3 65 bb c2)
DigiNotar Services 1024 CA (fe dc 94 49 0c 6f ef 5c 7f c6 f1 12 99 4f 16 49 ad fb 82 65)
DigiNotar PKIoverheid CA Organisatie - G2 (bc 5d 94 3b d9 ab 7b 03 25 73 61 c2 db 2d ee fc ab 8f 65 a1)
DigiNotar Root CA G2 (29 0d db 3f 07 52 e5 0b d4 21 68 2e 24 4a de 5b 5a 96 f2 21)