Für Jailbreak-iPhones: SSL-Patch bei Cydia erhältlich
isslfix verhindert, dass befreite iPhones oder iOS-Geräte von manipulierten Zertifikaten heimgesucht werden können. Die Software steht via Cydia bereit.
Apple hat die SSL-Schwachstelle mit der Veröffentlichung von iOS 4.3.5 Ende letzten Monats geschlossen. Allerdings gibt es für diese und Ausgabe 4.3.4 noch keine Jailbreaks.
Die Sicherheitslücke lässt sich via so genannter “Man in the Middle”-Angriffe mit manipulierten Zertifikaten ausnutzen. Somit könnten Angreifer den verschlüsselten Datenverkehr von iOS-Geräten abhören oder sogar manipulieren.
Released at Cydia, isslfix ensures that those who use jailbroken iOS devices are safe from manipulated certificates. Apple fixed the SSL vulnerability when it released iOS 4.3.5 at the end of last month, but no persistent jailbreak for this version, or its predecessor 4.3.4, has so far become available. iOS-Versionen inklusive 4.3.4 prüfen nicht, ob der Aussteller eines Zertifikats auch Zertifikate ausstellen darf. Somit könnte jeder mit einem gültigen Zertifikat weitere ausstellen und iOS akzeptiert diese Zertifikate als gültig.
Anwender können prüfen, ob der Flicken funktioniert. Dazu müssen sie lediglich die “iSSL Test“-Seite besuchen. Sollte Safari eine Warnung ausgeben, hat der Browser das manipulierte Zertifikat erkannt. isslfix setzt des Weiteren diverse SSL-Zertifikate auf eine Blcklist, die nach einem Angriff auf Comodo SSL generiert wurden. Diese Maßnahme ist allerdings nur für iOS-Betriebssysteme vor 4.3.2 notwendig, weil sich Apple in diesem Update bereits um das Problem gekümmert hat.
Anwender von entfesselten iOS-Geräten sollten außerdem PDF Patcher 2 installieren, das eine kritische Sicherheitslücke in der FreeType-Bibliothek schließt. Diese lässt sich ausnutzen, schädlichen Code mittels speziell manipulierten Webseiten in Apple-Geräte zu schleusen. Die Lücke wurde in Jailbreak 3 ausgenutzt.
