iOS < 4.3.5 fix для уязвимости SSL (CVE-2011-0228)

Список изменений

v1.2 : черный список DigiNotar
v1.1 : исправление ошибки повторяющихся ложных срабатываний для листовых сертификатов
v1.0 : первоначальный выпуск

Пакеты Deb

https://github.com/jan0/isslfix/downloads

83aa7a01f4377d3e5ec2e1af9c99602a isslfix_1.2.deb 1.2 пакет cydia

daa5c6efae5b36690153e715712e265e isslfix_1.1.deb 1.1 пакет в cydia (тот же, что fix1)

51560b2e1cc888f708c8c84c62be75a5 isslfix-fix1.deb тестовый пакет для исправления повторяющихся ложных срабатываний для листовых сертификатов

eee21f50d677a1edd6b8700f045e60f7 isslfix_1.0.deb актуальный пакет 1.0 в cydia

df580a7179b24ca1dfdd637cbcdf8062 isslfix.deb версия 1.0, отправленная в cydia

f22887c41bc9c663f6a181c2e8e9fd03 isslfix-test3.deb тестовая версия, без черного списка Comodo

Тестирование

Предупреждение: сделайте резервную копию устройства перед установкой на случай, если что-то пойдет не так...

dpkg -i isslfix.deb
launchctl unload /System/Library/LaunchDaemons/com.apple.securityd.plist
launchctl load /System/Library/LaunchDaemons/com.apple.securityd.plist

Посетите https://issl.recurity.com, чтобы проверить, работает ли это.

Если вы уже посещали эту страницу без применения исправления, перезагрузите страницу или очистите кеш Safari.

Вы должны увидеть всплывающее сообщение «Cannot Verify Server Identity» и это сообщение в syslog:

<Warning>: iSSLFix: Certificate <1BDC0A9E-7FC6-4BA4-A9E5-41F206B82D81> in chain starting at <issl.recurity.com> has isCA=0 => possible MITM attempt, making validation fail

Поскольку securityd перезапускается, существующие процессы и демоны потеряют своё «соединение» с ним, и большинство вызовов к Security framework (Keychain, проверка сертификатов и т.д.) будут неудачными: iTunes не сможет подключиться к устройству, приложения не смогут получить доступ к связке ключей и т.д. Эти проблемы должны исчезнуть после перезагрузки устройства.

Если securityd аварийно завершился (проверьте /Library/Logs/CrashReporter/), удалите пакет (dpkg -r isslfix) перед перезагрузкой.

Черный список украденных сертификатов Comodo

Для устройств с более старыми прошивками воссоздан черный список, добавленный в iOS 4.3.2 (см. blacklist.c и comodo.h).

Черный список центров сертификации DigiNotar

Открытые ключи следующих сертификатов занесены в черный список в v1.2

DigiNotar Root CA (88 68 bf e0 8e 35 c4 3b 38 6b 62 f7 28 3b 84 81 c8 0c d7 4d)
DigiNotar Cyber CA (ab f9 68 df cf 4a 37 d7 7b 45 8c 5f 72 de 40 44 c3 65 bb c2)
DigiNotar Services 1024 CA (fe dc 94 49 0c 6f ef 5c 7f c6 f1 12 99 4f 16 49 ad fb 82 65)
DigiNotar PKIoverheid CA Organisatie - G2 (bc 5d 94 3b d9 ab 7b 03 25 73 61 c2 db 2d ee fc ab 8f 65 a1)
DigiNotar Root CA G2 (29 0d db 3f 07 52 e5 0b d4 21 68 2e 24 4a de 5b 5a 96 f2 21)