Рекламаро пӯшед
Ахбор

iOS 7.0.6 ва тафсилоти навсозии SSL

Даниел Хруска
10

Чанд рӯз пеш Apple садумро баровард Навсозии iOS 7.0.6, дар бораи нашри он мо ба шумо хабар додем. Бисёриҳо шояд ҳайрон бошанд, ки навсозӣ барои iOS 6 (версияи 6.1.6) ва Apple TV (версияи 6.0.2) низ нашр шудааст. Ин як ямоқи амниятӣ аст, аз ин рӯ Apple қодир набуд, ки танҳо як қисми дастгоҳҳои худро навсозӣ кунад. Ғайр аз ин, ин масъала ба OS X низ таъсир мерасонад. Ба гуфтаи сухангӯи Apple Труди Мюллер, навсозии OS X ҳарчӣ зудтар нашр хоҳад шуд.

Чаро дар атрофи ин навсозӣ ин қадар сару садо вуҷуд дорад? Камбудӣ дар коди система имкон медиҳад, ки санҷиши сервер ҳангоми интиқоли бехатар дар қабати реляционии модели истинод ба ISO/OSI гузарад. Махсусан, хато як амали бади SSL дар қисмате мебошад, ки санҷиши сертификати сервер сурат мегирад. Пеш аз он ки ман ба тавзеҳи минбаъда равам, ман бартарӣ медиҳам, ки мафҳумҳои асосиро тавсиф кунам.

SSL (Secure Socket Layer) як протоколест, ки барои муоширати бехатар истифода мешавад. Он тавассути рамзгузорӣ ва аутентификатсияи тарафҳои муошират амниятро ба даст меорад. Аутентификатсия ин санҷиши шахсияти пешниҳодшуда мебошад. Дар ҳаёти воқеӣ, масалан, шумо номи худро (шахсият) мегӯед ва шахсияти худро нишон медиҳед, то шахси дигар онро тасдиқ кунад (асл.). Пас аз он аутентификатсия ба тафтиш тақсим мешавад, ки ин танҳо як намуна бо корти шахсияти миллӣ ё шахсият аст, вақте шахси мавриди назар метавонад шахсияти шуморо бидуни пешниҳоди пешакӣ ба ӯ муайян кунад.

Акнун ман ба таври мухтасар ба сертификати сервер меравам. Дар ҳаёти воқеӣ, шаҳодатномаи шумо метавонад, масалан, корти ID бошад. Ҳама чиз ба криптографияи асимметрӣ асос ёфтааст, ки дар он ҳар як субъект ду калид дорад - хусусӣ ва ҷамъиятӣ. Тамоми зебоӣ дар он аст, ки паёмро бо калиди ҷамъиятӣ рамзгузорӣ кардан мумкин аст ва бо калиди хусусӣ рамзкушоӣ кардан мумкин аст. Ин маънои онро дорад, ки танҳо соҳиби калиди хусусӣ метавонад шифри паёмро кушояд. Дар айни замон, дар бораи интиқоли калиди махфӣ ба ҳарду ҷониби муошират хавотир шудан лозим нест. Пас аз он сертификат калиди кушодаи субъект мебошад, ки бо маълумоти он илова карда мешавад ва аз ҷониби мақоми сертификатсия имзо карда мешавад. Дар Ҷумҳурии Чех, яке аз мақомоти сертификатсия, масалан, Česká Pošta мебошад. Бо шарофати сертификат, iPhone метавонад тасдиқ кунад, ки он воқеан бо сервери додашуда муошират мекунад.

Ҳангоми барқарор кардани пайвастшавӣ, ба истилоҳ SSL рамзгузории асимметриро истифода мебарад Дастфишори SSL. Дар ин марҳила iPhone-и шумо тасдиқ мекунад, ки он бо сервери додашуда иртибот дорад ва ҳамзамон бо ёрии рамзгузории асимметрӣ калиди симметрӣ таъсис дода мешавад, ки барои ҳама иртиботи минбаъда истифода мешавад. Рамзгузории симметрӣ тезтар аст. Тавре ки аллакай навишта шудааст, хатогӣ аллакай ҳангоми санҷиши сервер рух медиҳад. Биёед кодеро, ки боиси осебпазирии система мегардад, бубинем.

static OSStatus
SSLVerifySignedServerKeyExchange(SSLContext *ctx, bool isRsa,
SSLBuffer signedParams, uint8_t *signature, UInt16 signatureLen)

{
   OSStatus err;
   …

   if ((err = SSLHashSHA1.update(&hashCtx, &serverRandom)) != 0)
       goto fail;
   if ((err = SSLHashSHA1.update(&hashCtx, &signedParams)) != 0)
       goto fail;
       goto fail;
   if ((err = SSLHashSHA1.final(&hashCtx, &hashOut)) != 0)
       goto fail;
   …

fail:
   SSLFreeBuffer(&signedHashes);
   SSLFreeBuffer(&hashCtx);
   return err;
}

Дар ҳолати дуюм if шумо метавонед ду фармонро дар зер бинед ноком шудан;. Ва ин монеаи монеа аст. Ин код пас аз он боиси иҷро шудани фармони дуюм мегардад, ки сертификат бояд тасдиқ карда шавад ноком шудан;. Ин боиси аз байн рафтани шарти сеюм мегардад if ва ҳеҷ гуна санҷиши сервер вуҷуд нахоҳад дошт.

Натиҷаҳо ин аст, ки ҳар касе, ки аз ин осебпазирӣ огоҳ аст, метавонад ба iPhone-и шумо шаҳодатномаи қалбакӣ пешниҳод кунад. Шумо ё iPhone-и шумо, шумо фикр мекунед, ки шумо шифршуда муошират карда истодаед, дар ҳоле ки дар байни шумо ва сервер ҳамлагар мавҷуд аст. Чунин ҳамла номида мешавад хучуми одам-дар миёна, ки тахминан ба чехӣ тарҷума мешавад хучуми одам-дар миёна ё одам дар байни. Ҳамла бо истифода аз ин камбудии мушаххас дар OS X ва iOS метавонад танҳо дар сурате анҷом дода шавад, ки ҳамлагар ва ҷабрдида дар як шабака бошанд. Аз ин рӯ, беҳтар аст, ки аз шабакаҳои ҷамъиятии Wi-Fi худдорӣ кунед, агар шумо iOS-и худро нав накарда бошед. Корбарони Mac бояд то ҳол эҳтиёт бошанд, ки ба кадом шабакаҳо пайваст мешаванд ва ба кадом сайтҳо дар ин шабакаҳо ташриф меоранд.

Ин ғайриимкон аст, ки чӣ гуна чунин хатои марговар метавонад онро ба версияҳои ниҳоии OS X ва iOS ворид кунад. Ин метавонист санҷиши номувофиқи коди заиф навишташуда бошад. Ин маънои онро дорад, ки ҳам барномасоз ва ҳам озмоишгарон хато мекунанд. Ин метавонад барои Apple ғайриимкон ба назар расад ва аз ин рӯ тахминҳо ба миён меоянд, ки ин хато воқеан пушти дари ба истилоҳ аст. дар пушт. Бесабаб нагуфтаанд, ки дархои бехтарин ба хатохои нозук монанданд. Аммо, инҳо танҳо назарияҳои тасдиқнашуда ҳастанд, бинобар ин мо тахмин мезанем, ки касе танҳо хато кардааст.

Агар шумо боварӣ надошта бошед, ки система ё браузери шумо аз ин хато эмин аст, ба саҳифа равед gotofail.com. Тавре ки шумо дар тасвирҳои зер мебинед, Safari 7.0.1 дар OS X Mavericks 10.9.1 хато дорад, дар ҳоле ки дар Safari дар iOS 7.0.6 ҳама чиз хуб аст.

Манбаъҳо: iMore, Reuters
Сарчашма
Муҳокима
Мавзӯъҳо: , , , , , , , , ,

марбут



Бештар хонданд чланки

.