Alla luce della vulnerabilità di FREAK TLS, come posso disabilitare manualmente le suite di crittografia insicure in Safari?

Question

Alla luce della vulnerabilità di FREAK TLS, come posso disabilitare manualmente le suite di crittografia insicure in Safari?

#1 da (2 voti)

10

Un gruppo di ricerca denominato SMACK ha rilasciato una vulnerabilità nota come FREAK che può essere utilizzata per man-in-the-middle (MITM) attacco. La vulnerabilità è dovuta a un vecchio fantasma creato dal governo USA (NSA, in particolare) dove, anni fa, hanno convinto diverse organizzazioni a utilizzare chiavi più deboli, note come chiavi di esportazione per qualsiasi software da utilizzare al di fuori dei confini degli Stati Uniti. Mentre l'uso di chiavi forti è molto diffuso ora, molti server hanno ancora il supporto per le chiavi più deboli.

Il gruppo ha scoperto che questa vulnerabilità può essere sfruttata utilizzando un client e creando una connessione tramite una chiave debole. Una volta che la chiave viene generata dal server, viene riutilizzata fino al riavvio del server, che può potenzialmente essere mesi. Il gruppo è stato in grado di rompere questa debole chiave del server in 7,5 ore utilizzando Amazon EC2. Una volta che questo è rotto, potenzialmente tutte le comunicazioni possono essere declassate per utilizzare chiavi deboli e MITM'ed.

L'attacco riguarda principalmente client OpenSSL (ad esempio Android) e client TLS / SSL Apple (Safari) in combinazione con server Web vulnerabili ma non Firefox, Chrome o IE.

Come posso disabilitare alcune o tutte le Cipher Suite non protette manualmente sul lato client, ad es. modificare alcuni file di configurazione in Safari, usando un'estensione Safari appropriata o modificando i binari direttamente per correggere immediatamente la vulnerabilità, specialmente nelle versioni precedenti di Safari probabilmente non aggiornate da Apple? È possibile?

Le suite di crittografia in questione sono:

CipherSuite TLS_RSA_EXPORT_WITH_RC4_40_MD5         = { 0x00,0x03};
CipherSuite TLS_RSA_EXPORT_WITH_RC2_CBC_40_MD5     = { 0x00,0x06};
CipherSuite TLS_RSA_EXPORT_WITH_DES40_CBC_SHA      = { 0x00,0x08};
CipherSuite TLS_DH_DSS_EXPORT_WITH_DES40_CBC_SHA   = { 0x00,0x0B};
CipherSuite TLS_DH_RSA_EXPORT_WITH_DES40_CBC_SHA   = { 0x00,0x0E};
CipherSuite TLS_DHE_DSS_EXPORT_WITH_DES40_CBC_SHA  = { 0x00,0x11};
CipherSuite TLS_DHE_RSA_EXPORT_WITH_DES40_CBC_SHA  = { 0x00,0x14};
CipherSuite TLS_DH_anon_EXPORT_WITH_RC4_40_MD5     = { 0x00,0x17};
CipherSuite TLS_DH_anon_EXPORT_WITH_DES40_CBC_SHA  = { 0x00,0x19};

e forse ancora.

security macos safari openssl

posta klanomath 04.03.2015 - 13:19

fonte

1 risposta

Leggi altre domande sui tag security macos safari openssl

Come posso cancellare un file contrassegnato come elemento di backup? Esiste una funzionalità di sviluppo e controllo in Mail.app

score 2 · Answer 1

Safari su OS X utilizza Trasporto sicuro per SSL / TLS, lo stesso implementazione che è collegata in cURL, App Store, ecc. Secure Transport non ha alcuna configurazione utente disponibile. Pertanto, non è possibile modificare le suite di crittografia di Safari.

Comunque, Apple ha recentemente rilasciato Aggiornamento di sicurezza 2015-002 che risolve questo problema.

Impact: An attacker with a privileged network position may intercept SSL/TLS connections

Description: Secure Transport accepted short ephemeral RSA keys, usually used only in export-strength RSA cipher suites, on connections using full-strength RSA cipher suites. This issue, also known as FREAK, only affected connections to servers which support export-strength RSA cipher suites, and was addressed by removing support for ephemeral RSA keys.

CVE-2015-1067 : Benjamin Beurdouche, Karthikeyan Bhargavan, Antoine Delignat-Lavaud, Alfredo Pironti, and Jean Karim Zinzindohoue of Prosecco at Inria Paris

Puoi esaminare il client Secure Transport con qualcosa del tipo, curl "https://www.howsmyssl.com/a/check" | tr ',' '\n' . Come qualcuno ha sottolineato, è anche una buona idea usare Firefox o Chrome che utilizzano NSS invece.