https://www.cert.fi/tietoturvanyt/2014/02/ttn201402251843.html
Mac-tietokoneista, iPhonesta ja iPadeista on löytynyt salatun tietoliikenteen vaarantava haavoittuvuus
Applen iOS ja Mac OS X -käyttöjärjestelmistä on löytynyt haavoittuvuus, jonka avulla salattuja tietoliikenneyhteyksiä voidaan salakuunnella ja sen yli siirrettävää tietoa muokata. Viestintäviraston Kyberturvallisuuskeskus suosittelee päivittämään Applen iOS-laitteet mahdollisimman pian. Mac OS X -käyttöjärjestelmälle ei ole vielä saatavilla päivitystä.
Viestintäviraston Kyberturvallisuuskeskus suosittelee:
Päivittämään Applen iOS-laitteet mahdollisimman pian (iPhone, iPad, iPod Touch)
Harkitsemaan Mac OS X 10.9 -käyttöjärjestelmällä salattujen verkkoyhteyksien käyttöä (Mac-tietokoneet)
Tarvittaessa Mac OS X 10.9. käyttäjille esim. Google Chrome tai Mozilla Firefox -selainten uusimpia versioita, koska selaimet eivät ole riippuvaisia Applen SSL/TLS-protokollan toteutuksesta
Haavoittuvuus liittyy SSL/TLS-prokollaan, jota hyödynnetään avattaessa salattu yhteys käyttäjän ja palvelimen välille. Kyseistä salaustekniikkaa käytetään muun muassa nettipankeissa ja useissa sähköpostiohjelmissa. Verkkoa selailtaessa SSL/TLS-salaus on käytössä, kun selaimen osoiterivillä oleva lukko-ikoni on lukittuna. Yleensä osoiterivillä lukossa oleva lukko-ikoni kertoo, että yhteys on suojattu ja palvelin on todennettu. Applen iOS 6- ja 7- sekä Mac OS X 10.9 -versioista löytyvä haavoittuvuus kuitenkin vaarantaa SSL/TLS-salauksen niin, että käyttäjän on mahdotonta tietää onko tavoiteltu palvelin tai sinne avattu yhteys turvallinen.
Haavoittuvuudelle ovat alttiita kaikki sovellukset, jotka hyödyntävät käyttöjärjestelmän tarjoamaa SSL/TSL-toteutusta. Esimerkiksi Safari-selaimen tiedetään olevan altis haavoittuvuudelle. Loppukäyttäjän on kuitenkin hankala tietää mitä SSL/TLS-toteutusta ohjelmistot käyttävät. Siksi on syytä noudattaa varovaisuutta arkaluontoista tietoa verkon yli siirrettäessä, kunnes haavoittuvuus on korjattu.
Haavoittuvuuden hyödyntäminen edellyttää, että käyttäjän ja palvelimen väliseen tietoliikenteeseen päästään käsiksi niin sanottua man-in-the-middle hyökkäystä avuksi käyttäen. Tällainen tilanne saattaa syntyä jos hyökkääjä pääsee esimerkiksi samaan langattomaan lähiverkkoon käyttäjän kanssa nettikahvilassa tai muussa yleisesti käytetyssä verkossa.
Haavoittuvuus on ollut olemassa syyskuussa 2012 julkaistussa iOS 6.0 versiosta lähtien sekä lokakuussa 2013 julkaistusta Mac OS X 10.9 -versiosta lähtien. Erityisesti yritysten on hyvä miettiä mitä tietoa näillä laitteilla on tänä aikana verkon yli käsitelty, ja riskiarviosta riippuen ryhtyä mahdollisiin toimenpiteisiin kuten salasanojen vaihtoon.
Viestintäviraston Kyberturvallisuuskeskus suosittelee päivittämään iOS-laitteiden käyttöjärjestelmän. Koska Mac OS X -käyttöjärjestelmälle ei ole vielä päivitystä, on suositeltavaa käyttää harkintaa ennen arkaluontoisen tiedon käsittelyä verkon ylitse. Internet-selailun osalta Mac OS X:llä ongelman voi toistaiseksi kiertää käyttämällä Google Chrome tai Mozilla Firefox -selainten uusimpia versioita, koska ne eivät ole riippuvaisia Applen SSL/TLS-protokollan toteutuksesta.
-Näyttää siltä, että Apple on tehnyt oikein todella töitä taatakseen viranomaisille pääsyn kaikkiin tuotteisiinsa, edes salattu liikenne ei onnistu turvallisesti Applen laitteilla ja käyttöjärjestelmillä. Jälleen todiste siitä miten tiukasti Apple ja Microsoft ovat NSA:n kanssa kytköksissä (elleivät ole sen pelkkiä kulisseja peräti).
Applen laitteet paljastuivat jo aikaisemmin täysin avoimiksi NSA:lle, eli Apple tekee kaikkensa veljeilläkseen poliisin kanssa.
Mac-tietokoneista, iPhonesta ja iPadeista on löytynyt salatun tietoliikenteen vaarantava haavoittuvuus
Applen iOS ja Mac OS X -käyttöjärjestelmistä on löytynyt haavoittuvuus, jonka avulla salattuja tietoliikenneyhteyksiä voidaan salakuunnella ja sen yli siirrettävää tietoa muokata. Viestintäviraston Kyberturvallisuuskeskus suosittelee päivittämään Applen iOS-laitteet mahdollisimman pian. Mac OS X -käyttöjärjestelmälle ei ole vielä saatavilla päivitystä.
Viestintäviraston Kyberturvallisuuskeskus suosittelee:
Päivittämään Applen iOS-laitteet mahdollisimman pian (iPhone, iPad, iPod Touch)
Harkitsemaan Mac OS X 10.9 -käyttöjärjestelmällä salattujen verkkoyhteyksien käyttöä (Mac-tietokoneet)
Tarvittaessa Mac OS X 10.9. käyttäjille esim. Google Chrome tai Mozilla Firefox -selainten uusimpia versioita, koska selaimet eivät ole riippuvaisia Applen SSL/TLS-protokollan toteutuksesta
Haavoittuvuus liittyy SSL/TLS-prokollaan, jota hyödynnetään avattaessa salattu yhteys käyttäjän ja palvelimen välille. Kyseistä salaustekniikkaa käytetään muun muassa nettipankeissa ja useissa sähköpostiohjelmissa. Verkkoa selailtaessa SSL/TLS-salaus on käytössä, kun selaimen osoiterivillä oleva lukko-ikoni on lukittuna. Yleensä osoiterivillä lukossa oleva lukko-ikoni kertoo, että yhteys on suojattu ja palvelin on todennettu. Applen iOS 6- ja 7- sekä Mac OS X 10.9 -versioista löytyvä haavoittuvuus kuitenkin vaarantaa SSL/TLS-salauksen niin, että käyttäjän on mahdotonta tietää onko tavoiteltu palvelin tai sinne avattu yhteys turvallinen.
Haavoittuvuudelle ovat alttiita kaikki sovellukset, jotka hyödyntävät käyttöjärjestelmän tarjoamaa SSL/TSL-toteutusta. Esimerkiksi Safari-selaimen tiedetään olevan altis haavoittuvuudelle. Loppukäyttäjän on kuitenkin hankala tietää mitä SSL/TLS-toteutusta ohjelmistot käyttävät. Siksi on syytä noudattaa varovaisuutta arkaluontoista tietoa verkon yli siirrettäessä, kunnes haavoittuvuus on korjattu.
Haavoittuvuuden hyödyntäminen edellyttää, että käyttäjän ja palvelimen väliseen tietoliikenteeseen päästään käsiksi niin sanottua man-in-the-middle hyökkäystä avuksi käyttäen. Tällainen tilanne saattaa syntyä jos hyökkääjä pääsee esimerkiksi samaan langattomaan lähiverkkoon käyttäjän kanssa nettikahvilassa tai muussa yleisesti käytetyssä verkossa.
Haavoittuvuus on ollut olemassa syyskuussa 2012 julkaistussa iOS 6.0 versiosta lähtien sekä lokakuussa 2013 julkaistusta Mac OS X 10.9 -versiosta lähtien. Erityisesti yritysten on hyvä miettiä mitä tietoa näillä laitteilla on tänä aikana verkon yli käsitelty, ja riskiarviosta riippuen ryhtyä mahdollisiin toimenpiteisiin kuten salasanojen vaihtoon.
Viestintäviraston Kyberturvallisuuskeskus suosittelee päivittämään iOS-laitteiden käyttöjärjestelmän. Koska Mac OS X -käyttöjärjestelmälle ei ole vielä päivitystä, on suositeltavaa käyttää harkintaa ennen arkaluontoisen tiedon käsittelyä verkon ylitse. Internet-selailun osalta Mac OS X:llä ongelman voi toistaiseksi kiertää käyttämällä Google Chrome tai Mozilla Firefox -selainten uusimpia versioita, koska ne eivät ole riippuvaisia Applen SSL/TLS-protokollan toteutuksesta.
-Näyttää siltä, että Apple on tehnyt oikein todella töitä taatakseen viranomaisille pääsyn kaikkiin tuotteisiinsa, edes salattu liikenne ei onnistu turvallisesti Applen laitteilla ja käyttöjärjestelmillä. Jälleen todiste siitä miten tiukasti Apple ja Microsoft ovat NSA:n kanssa kytköksissä (elleivät ole sen pelkkiä kulisseja peräti).
Applen laitteet paljastuivat jo aikaisemmin täysin avoimiksi NSA:lle, eli Apple tekee kaikkensa veljeilläkseen poliisin kanssa.
Vastaukset 1
Vanhimmat
C koodin laatu on suoraan verrannollinen goto lauseiden määrään. Mitä vähemmän sen parempi. Jopa aaltosulkeiden puuttuminen antaa ymmärtää että koodia ei tarkasteta asianmukasiesti.
http://www.theguardian.com/technology/2014/feb/25/apples-ssl-iphone-vulnerability-how-did-it-happen-and-what-next