Quali versioni di OS X sono interessate da Heartbleed?

Quali versioni di OS X sono predefinite con le versioni interessate di OpenSSL ?

Tutto il traffico Internet in questo momento è ostruito con le stesse informazioni generiche relative al bug Heartbleed, senza alcuna attenzione rivolta a Macintosh nell'ambiente. Sto cercando informazioni sul client Mac OS X e sul server Mac OS X. In questo momento non è pratico per me controllare tutti i Mac nell'ambiente per la loro versione specifica di OpenSSL , ma ho già le informazioni sulla versione di Mac OS X per le macchine interessate.

macos openssl

— MDMoore313
fonte

Questo è più un problema per i server Web che i client utilizzati per connettersi a loro. Le tue informazioni possono essere compromesse anche se la tua macchina non ha la versione Heartbleed di OpenSSL.

— Ɱark Ƭ

@Mark true, ma cosa succede quando qualcuno vuole eseguire un'app che trasforma la propria macchina in un server web e utilizza la versione integrata di OpenSSL? Le app per Mac potrebbero non essere così tante, ma è per questo che ho chiesto anche del server OS X. È probabile che i cellulari siano più efficaci anche se molte app mobili cercano di implementare tale funzionalità.

— MDMoore313,

Tuttavia, l'intera domanda in gran parte manca al punto che non sono le macchine client a essere in pericolo, ma i server. Se si accede a un server che è stato compromesso, non importa se si esegue MacOS X o Windows 95, si sta accedendo a un server che potrebbe perdere qualsiasi informazione che il server ha su di te. È interessante solo se stai usando il tuo Mac come server.

— gnasher729,

Non vero. L'exploit può essere utilizzato da server dannosi contro client che utilizzano OpenSSL per stabilire la connessione.

— Michael Hampton,

@ gnasher729 Non vi è alcun motivo per cui non è possibile porre una domanda diversa sul punto che si ritiene manchi. Queste domande e risposte sono limitate e focalizzate su quali versioni di OS X potrebbero avere i loro contenuti di memoria esposti alla rete da un bug di programmazione. Non intende essere una valutazione generale del rischio per qualsiasi utente Mac o anche per immagini più grandi.

— bmike

Risposte:

Non sono interessate versioni di OS X (né iOS è interessato). Solo l'installazione di un'app di terze parti o modifiche comporterebbe un programma Mac o OS X con quella vulnerabilità / bug in OpenSSL versione 1.0.x

Apple ha deprecato OpenSSL su OS X a dicembre 2012, se non in precedenza. Nessuna versione di OpenSSL vulnerabile a CVE-2014-0160 (aka Heartbleed Bug )

Apple fornisce diverse interfacce applicative alternative che forniscono SSL agli sviluppatori Mac e ha da dire su OpenSSL:

OpenSSL non fornisce un'API stabile da versione a versione. Per questo motivo, sebbene OS X fornisca le librerie OpenSSL, le librerie OpenSSL in OS X sono obsolete e OpenSSL non è mai stato fornito come parte di iOS. L'uso delle librerie OpenSSL di OS X da parte delle app è fortemente sconsigliato.

In particolare, l'ultima versione di OpenSSL fornita da Apple è OpenSSL 0.9.8y 5 feb 2013 che non sembra avere il bug delle versioni più recenti di OpenSSL trasferite sul codice per la versione Apple della libreria.

Il PDF di questa documentazione contiene alcuni consigli scritti chiaramente per gli sviluppatori e alcune sezioni che sono utili anche per i professionisti o per gli utenti attenti alla sicurezza.

OpenSSL per sviluppatori Mac e versione PDF della Guida ai servizi di crittografia di Apple

Considerando questo, l'unico problema rimanente sarebbe il software aggiuntivo che è stato creato contro OpenSSL, ad esempio diversi in Homebrew ( brew updateseguito da brew upgrade) o MacPorts ( port self updateseguito da port upgrade openssl) per aggiornare alla versione 1.x patinata di openSSL.

Inoltre, potresti usare mdfind / mdls per controllare i file di nome openssl nel caso in cui tu abbia altre applicazioni che raggruppano quella libreria come Apple consiglia piuttosto che a seconda della versione "sicura" che Apple continua a spedire con OS X.

for ff in `mdfind kMDItemFSName = "openssl"`; do echo "#### $ff"; mdls $ff | grep kMDItemKind; done

— bmike
fonte

Per coloro che usano MacPorts, hanno rilasciato anche un OpenSSL aggiornato. L'esecuzione port selfupdateseguita da port upgrade opensslti porterà alla versione 1.0.1g fissa.

— coredumperror,

@CoreDumpError Grazie per questo - ho incorporato i tuoi comandi nella risposta in modo che le persone lo vedano chiaramente accanto alla "ricetta" homebrew.

— bmike

Vale anche la pena notare che il software client di Apple utilizza Secure Transport, il codice di Apple, non OpenSSL; lo stesso vale per qualsiasi software che utilizza API Cocoa o Core Foundation per comunicare su Internet.

— alastair,

Curiosità: sai perché Apple ha smesso di usare OpenSSL?

— Roberto,

FWIW - è stato trovato un bug non correlato nel codice SSL di Apple meno di 2 mesi fa: nakedsecurity.sophos.com/2014/02/24/…

— Elliot

Ho corso openssl versionsu tutti i Mac che ho potuto mettere le mani su ¹ e tutti mostrano:

OpenSSL 0.9.8y 5 Feb 2013

... compresa l'ultima versione attuale: OS X 10.9.2.

Pertanto, posso concludere che Heartbleed non ha alcuna versione di OS X interessata .

^{¹ e anche quelli che non potevo e ho appena avuto SSH - comunque testati, le macchine di produzione sono importanti! Tutto sommato ho testato circa 30 macchine con varie versioni di OS X.}

— grg
fonte

> Un controllo dei limiti mancanti nella gestione dell'estensione heartbeat TLS può essere utilizzato per rivelare fino a 64k di memoria a un client o server connesso. > ** Sono interessate solo le versioni 1.0.1 e 1.0.2-beta di OpenSSL, incluse 1.0.1f e 1.0.2-beta1. ** tramite openssl.org , (enfasi aggiunta). Quindi, come ha detto grgarside ...

— Dwightk,

@dwightk La domanda era su quali versioni di OS X hanno una versione OpenSSL effettuata. Le versioni di OpenSSL eseguite sono ben note, grazie comunque.

— MDMoore313,

Mentre OS X non viene fornito con le versioni interessate di OpenSSL, è comunque fortemente consigliato di farlo openssl versionnel caso in cui uno possa essere stato installato come parte di un pacchetto di terze parti.

Ad esempio, il mio computer ha segnalato OpenSSL 1.0.1f 6 Jan 2014perché era stato incluso come dipendenza per qualcosa che avevo installato tramite MacPorts. sudo port upgrade outdatedrisolto questo, ovviamente.

— Daniel Perván
fonte

OS X lo è (non OSX).

— Peter Mortensen,

@Peter Mortensen: risolto :)

— Daniel Perván,

E, se hai 1.x, idealmente vedrai OpenSSL 1.0.1g 7 Apr 2014la versione sicura / patchata.

— drfrogsplat,