ప్రకటనను మూసివేయండి
వార్తలు

iOS 7.0.6 మరియు SSL నవీకరణ వివరాలు

డేనియల్ హ్రుస్కా
10

కొన్ని రోజుల క్రితం, ఆపిల్ వందవది విడుదల చేసింది iOS 7.0.6 నవీకరణ, మేము మీకు తెలియజేసే విడుదల గురించి. పాత iOS 6 (వెర్షన్ 6.1.6) మరియు Apple TV (వెర్షన్ 6.0.2) కోసం కూడా నవీకరణ విడుదల చేయబడిందని చాలా మంది ఆశ్చర్యపోవచ్చు. ఇది సెక్యూరిటీ ప్యాచ్, కాబట్టి Apple తన పరికరాలలో కొంత భాగాన్ని మాత్రమే అప్‌డేట్ చేయలేకపోయింది. అంతేకాదు, ఈ సమస్య OS Xని కూడా ప్రభావితం చేస్తుంది. Apple ప్రతినిధి ట్రూడీ ముల్లర్ ప్రకారం, OS X అప్‌డేట్ వీలైనంత త్వరగా విడుదల చేయబడుతుంది.

ఈ అప్‌డేట్ చుట్టూ ఇంత హైప్ ఎందుకు ఉంది? సిస్టమ్ కోడ్‌లోని లోపం ISO/OSI రిఫరెన్స్ మోడల్ యొక్క రిలేషనల్ లేయర్ వద్ద సురక్షిత ప్రసారంపై సర్వర్ ధృవీకరణను దాటవేయడానికి అనుమతిస్తుంది. ప్రత్యేకించి, సర్వర్ సర్టిఫికేట్ ధృవీకరణ జరిగే భాగంలో తప్పు SSL అమలు చేయడం తప్పు. నేను మరింత వివరణకు వెళ్ళే ముందు, నేను ప్రాథమిక భావనలను వివరించడానికి ఇష్టపడతాను.

SSL (సెక్యూర్ సాకెట్ లేయర్) అనేది సురక్షిత కమ్యూనికేషన్ కోసం ఉపయోగించే ప్రోటోకాల్. ఇది కమ్యూనికేట్ చేసే పార్టీల ఎన్‌క్రిప్షన్ మరియు ప్రామాణీకరణ ద్వారా భద్రతను సాధిస్తుంది. ప్రమాణీకరణ అనేది సమర్పించబడిన గుర్తింపు యొక్క ధృవీకరణ. నిజ జీవితంలో, ఉదాహరణకు, మీరు మీ పేరు (గుర్తింపు) చెప్పండి మరియు మీ IDని చూపండి, తద్వారా అవతలి వ్యక్తి దానిని ధృవీకరించవచ్చు (ప్రామాణీకరించబడుతుంది). ప్రామాణీకరణ అనేది ధృవీకరణగా విభజించబడింది, ఇది జాతీయ గుర్తింపు కార్డు లేదా గుర్తింపుతో ఒక ఉదాహరణ మాత్రమే, సందేహాస్పద వ్యక్తి మీ గుర్తింపును మీరు ముందుగా అతనికి అందించకుండానే గుర్తించవచ్చు.

ఇప్పుడు నేను క్లుప్తంగా సర్వర్ ప్రమాణపత్రాన్ని పొందుతాను. నిజ జీవితంలో, మీ సర్టిఫికేట్, ఉదాహరణకు, ID కార్డ్ కావచ్చు. ప్రతిదీ అసమాన గూఢ లిపి శాస్త్రంపై ఆధారపడి ఉంటుంది, ఇక్కడ ప్రతి విషయం రెండు కీలను కలిగి ఉంటుంది - ప్రైవేట్ మరియు పబ్లిక్. పబ్లిక్ కీతో సందేశాన్ని గుప్తీకరించవచ్చు మరియు ప్రైవేట్ కీతో డీక్రిప్ట్ చేయవచ్చు అనే వాస్తవంలో మొత్తం అందం ఉంది. ప్రైవేట్ కీ యజమాని మాత్రమే సందేశాన్ని డీక్రిప్ట్ చేయగలరని దీని అర్థం. అదే సమయంలో, రహస్య కీని కమ్యూనికేట్ చేసే రెండు పార్టీలకు బదిలీ చేయడం గురించి ఆందోళన చెందాల్సిన అవసరం లేదు. సర్టిఫికేట్ అనేది సబ్జెక్ట్ యొక్క పబ్లిక్ కీ దాని సమాచారంతో అనుబంధంగా మరియు ధృవీకరణ అధికారం ద్వారా సంతకం చేయబడింది. చెక్ రిపబ్లిక్లో, ధృవీకరణ అధికారులలో ఒకరు, ఉదాహరణకు, Česká Pošta. సర్టిఫికేట్‌కు ధన్యవాదాలు, ఇచ్చిన సర్వర్‌తో ఇది నిజంగా కమ్యూనికేట్ చేస్తోందని iPhone ధృవీకరించగలదు.

కనెక్షన్‌ని స్థాపించేటప్పుడు SSL అసమాన గుప్తీకరణను ఉపయోగిస్తుంది, అని పిలవబడేది SSL హ్యాండ్‌షేక్. ఈ దశలో, మీ ఐఫోన్ అందించిన సర్వర్‌తో కమ్యూనికేట్ చేస్తుందని ధృవీకరిస్తుంది మరియు అదే సమయంలో, అసమాన గుప్తీకరణ సహాయంతో, ఒక సిమెట్రిక్ కీ స్థాపించబడింది, ఇది అన్ని తదుపరి కమ్యూనికేషన్ కోసం ఉపయోగించబడుతుంది. సిమెట్రిక్ ఎన్‌క్రిప్షన్ వేగంగా ఉంటుంది. ఇప్పటికే వ్రాసినట్లుగా, సర్వర్ ధృవీకరణ సమయంలో లోపం ఇప్పటికే సంభవించింది. ఈ సిస్టమ్ దుర్బలత్వానికి కారణమయ్యే కోడ్‌ని పరిశీలిద్దాం.

static OSStatus
SSLVerifySignedServerKeyExchange(SSLContext *ctx, bool isRsa,
SSLBuffer signedParams, uint8_t *signature, UInt16 signatureLen)

{
   OSStatus err;
   …

   if ((err = SSLHashSHA1.update(&hashCtx, &serverRandom)) != 0)
       goto fail;
   if ((err = SSLHashSHA1.update(&hashCtx, &signedParams)) != 0)
       goto fail;
       goto fail;
   if ((err = SSLHashSHA1.final(&hashCtx, &hashOut)) != 0)
       goto fail;
   …

fail:
   SSLFreeBuffer(&signedHashes);
   SSLFreeBuffer(&hashCtx);
   return err;
}

రెండవ స్థితిలో if మీరు క్రింద రెండు ఆదేశాలను చూడవచ్చు గోటో ఫెయిల్;. మరియు అది అడ్డంకి. ఈ కోడ్ సర్టిఫికేట్ ధృవీకరించబడే దశలో రెండవ ఆదేశాన్ని అమలు చేయడానికి కారణమవుతుంది గోటో ఫెయిల్;. ఇది మూడవ షరతును దాటవేయడానికి కారణమవుతుంది if మరియు సర్వర్ ధృవీకరణ అస్సలు ఉండదు.

చిక్కులు ఏమిటంటే, ఈ దుర్బలత్వం గురించి తెలిసిన ఎవరైనా మీ ఐఫోన్‌ను నకిలీ సర్టిఫికేట్‌ను అందించవచ్చు. మీరు లేదా మీ iPhoneలో, మీకు మరియు సర్వర్‌కు మధ్య దాడి చేసే వ్యక్తి ఉన్నప్పుడు, మీరు ఎన్‌క్రిప్ట్‌గా కమ్యూనికేట్ చేస్తున్నారని మీరు అనుకుంటారు. అటువంటి దాడి అంటారు మనిషి-ఇన్-ది-మధ్య దాడి, ఇది సుమారుగా చెక్‌లోకి అనువదిస్తుంది మనిషి-ఇన్-ది-మధ్య దాడి లేదా మధ్య మనిషి. OS X మరియు iOSలో ఈ ప్రత్యేక లోపాన్ని ఉపయోగించి దాడి చేస్తే దాడి చేసే వ్యక్తి మరియు బాధితుడు ఒకే నెట్‌వర్క్‌లో ఉంటే మాత్రమే అమలు చేయబడుతుంది. కాబట్టి, మీరు మీ iOSని అప్‌డేట్ చేయకుంటే పబ్లిక్ Wi-Fi నెట్‌వర్క్‌లను నివారించడం మంచిది. Mac యూజర్‌లు ఏ నెట్‌వర్క్‌లకు కనెక్ట్ అవుతారో మరియు ఆ నెట్‌వర్క్‌లలో ఏ సైట్‌లను సందర్శిస్తారో ఇప్పటికీ జాగ్రత్తగా ఉండాలి.

అటువంటి ఘోరమైన లోపం OS X మరియు iOS యొక్క చివరి వెర్షన్‌లలోకి ఎలా చేరిందో నమ్మడానికి మించినది కాదు. ఇది పేలవంగా వ్రాసిన కోడ్ యొక్క అస్థిరమైన పరీక్ష కావచ్చు. ప్రోగ్రామర్ మరియు టెస్టర్లు ఇద్దరూ తప్పులు చేస్తారని దీని అర్థం. ఇది Appleకి అసంభవం అనిపించవచ్చు మరియు ఈ బగ్ నిజానికి బ్యాక్‌డోర్ అని పిలవబడే ఊహాగానాలు వెలువడుతున్నాయి. వెనుక తలుపు. ఉత్తమ బ్యాక్‌డోర్‌లు సూక్ష్మ తప్పుల వలె కనిపిస్తాయని వారు చెప్పడం ఏమీ కాదు. అయితే, ఇవి ధృవీకరించబడని సిద్ధాంతాలు మాత్రమే, కాబట్టి ఎవరైనా తప్పు చేశారని మేము అనుకుంటాము.

మీ సిస్టమ్ లేదా బ్రౌజర్ ఈ బగ్ నుండి నిరోధకంగా ఉందో లేదో మీకు ఖచ్చితంగా తెలియకపోతే, పేజీని సందర్శించండి gotofail.com. మీరు దిగువ చిత్రాలలో చూడగలిగినట్లుగా, OS X మావెరిక్స్ 7.0.1లోని Safari 10.9.1 బగ్‌ను కలిగి ఉంది, అయితే iOS 7.0.6లోని Safariలో ప్రతిదీ బాగానే ఉంది.

వర్గాలు: నేను మరింత, రాయిటర్స్
మూలం
చర్చ
అంశాలు: , , , , , , , , ,

సంబంధిత



ఎక్కువగా చదివారు వ్యాసాలు

.