iOS 5 beskytter nå mot DigiNotar, MD5-signert konserter

Interessante nyheter på url:http://feeds.arstechnica.com/~r/arstechnica/everything/~3/JKHNLV1S2rg/ios-5-protects-against-diginotar-md5-signed-certs.ars:

iOS 5, fortsatt sakte ruller ut til brukere etter lanseringen på onsdag, ikke bare bringer nye funksjoner, det bringer også en rekke viktige sikkerhetsfikser for iPhone, iPad og iPod touch-brukere. Oppdateringen fjerner tillit for alle sikkerhetssertifikater fra hacket sertifiseringsinstansen DigiNotar, og dråper støtte for konserter med MD5-hash og oppdateringer TLS til versjon 1.2 for å bedre sikkerheten for SSL-tilkoblinger.

Nederlandske sertifikat autoritet DigiNotar ble hacket i juli av en hacker kalte seg ComodoHacker , som brukte DigiNotar servere å generere hundrevis av falske sikkerhetssertifikater. Selv om selskapet hadde trodd at det hadde slettet alle av dem fra sine servere, endte selskapet opp mangler minst ett sertifikat. Det aktuelle sertifikat tillot hacker å legge sin servere mellom Gmail brukere og Googles Gmail-servere for avskjære e-post fra en rekke iranske borgere.

Når nyheten om hack spredt, utstedt Mozilla, Google, Microsoft og andre oppdateringer som svartelistet alle DigiNotar konserter. Effektivt, ville helst server ved hjelp av en cert fra DigiNotar klareres. Apple tok nesten to uker til å utstede en oppdatering for Mac OS X , og det var ikke før dagens iOS 5 oppdatering som iPhone, iPad og iPod touch-brukere fikk en lignende patch.

Ifølge Apple, er DigiNotar problemet "løses ved å fjerne DigiNotar fra listen over klarerte rotsertifikater, fra listen over Extended Validation (EV) sertifikat myndigheter, og ved å konfigurere standard system klareringsinnstillingene slik at DigiNotar er sertifikater, inkludert de utstedt av andre myndigheter, er ikke klarert. "

iOS 5 tilføyer også to ytterligere forbedringer til datasikkerhet. Apple har fjernet støtte for X.509 konserter signert med MD5-hash algoritmen, som har noen kjente sårbarheter. Den oppdateres også TLS-protokollen til versjon 1.2, som omhandler en potensiell mann-in-the-middle angrep når man bruker ellers klarerte SSL-tilkoblinger.

I tillegg inneholder iOS 5 en rekke patcher for buffer overflow og andre potensielle utnytter i libxml, ImageIO, Unicode støtte, WebKit, og mer. Fullstendig informasjon er lagt ut på Apples nettsted .

Les kommentarer til dette innlegget