OS X'in hangi sürümleri Heartbleed'den etkilenir?

OpenSSL'nin etkilenen sürümleriyle hangi OS X sürümleri varsayılan olarak gelir ?

Şu anda tüm İnternet trafiği, Heartbleed böceği ile ilgili olarak aynı genel bilgi ile çevrede Macintosh'a hiç dikkat edilmeden tıkanmıştır. Mac OS X istemcisinin yanı sıra Mac OS X sunucusuyla ilgili bilgi arıyorum. Şu anda ortamdaki tüm Mac'leri kendi OpenSSL sürümlerine göre denetlemem pratik değil, ancak etkilenen makineler için zaten Mac OS X sürüm bilgisine sahibim.

macos openssl

— MDMoore313
kaynak

Bu, web sunucuları için, kendilerine bağlanmak için kullanılan istemcilerden daha fazla endişe vericidir. Makinenizde OpenSSL'nin Heartbleed sürümü olmasa bile bilgileriniz tehlikeye girebilir.

— Ɱark Ƭ

@Mark true, ancak biri makinesini web sunucusuna dönüştüren ve yerleşik OpenSSL sürümünü kullanan bir uygulamayı çalıştırmak istediğinde ne olur? Mac uygulamaları belki çok fazla değil, ama bu yüzden OS X sunucusu hakkında da sordum. Cep telefonlarının b / ca'ları bu işlevselliği uygulamaya çalışsa da cep telefonlarının daha fazla etkilenmesi muhtemeldir.

— MDMoore313

Ancak, tüm soru büyük ölçüde tehlikede olan istemci makineleri değil, sunucular olduğu noktasını da gözden kaçırıyor. Eğer tehlikeye atılmış bir sunucuya erişiyorsanız, MacOS X veya Windows 95 çalıştırıp çalıştırmamanız önemli değildir, sunucunun sizinle ilgili herhangi bir bilgisini sızdırıyor olabilecek bir sunucuya erişiyorsunuzdur. Kendi Mac'inizi bir sunucu olarak kullanıyorsanız, bu yalnızca ilgi çekicidir.

— gnasher729

Doğru değil. Suistimal, kötü niyetli sunucular tarafından bağlantı kurmak için OpenSSL kullanan istemcilere karşı kullanılabilir .

— Michael Hampton

@ gnasher729 Eksik olduğunu düşündüğünüz nokta hakkında farklı bir soru soramamak için hiçbir neden yok. Bu soru-cevap dardır ve OS X'in hangi sürümlerinin bir programlama hatası nedeniyle ağa maruz kaldıklarına odaklanır. Herhangi bir Mac kullanıcısı için ve hatta daha büyük bir resim için genel bir risk değerlendirmesi anlamına gelmez.

— bmike

Yanıtlar:

OS X sürümleri etkilenmez (iOS etkilenmez). Yalnızca üçüncü taraf bir uygulama veya değişiklik yapılması, OpenSSL sürüm 1.0.x’te bu güvenlik açığını / hatayı içeren bir Mac veya OS X programına neden olur

Apple, daha önce olmasa da, Aralık 2012'de OS X'te OpenSSL'yi kullanımdan kaldırmıştı. CVE-2014-0160’a (aka Heartbleed Böceği ) karşı hassas olan hiçbir OpenSSL sürümü

Apple, Mac geliştiricilerine SSL sağlayan ve OpenSSL hakkında söyleyecekleri çeşitli alternatif uygulama arayüzleri sunar:

OpenSSL, versiyondan versiyona kararlı bir API sağlamamaktadır. Bu nedenle, OS X, OpenSSL kütüphaneleri sağlamasına rağmen, OS X'teki OpenSSL kütüphaneleri kullanımdan kaldırılmıştır ve OpenSSL hiçbir zaman iOS'un bir parçası olarak sağlanmamıştır. OS X OpenSSL kütüphanelerinin uygulamalar tarafından kullanılması kesinlikle önerilmez.

Özellikle, son Apple tarafından sevk OpenSSL sürümü olan OpenSSL 0.9.8y 5 Şubat 2013 kütüphanenin Apple'ın sürümü için koduna geri taşınmış OpenSSL yeni sürümlerinden hata var görünmemektedir.

Bu belgenin PDF'si, geliştiriciler için açıkça yazılı bir tavsiye ve profesyoneller veya güvenlikle ilgilenen kullanıcılar için yararlı olan bazı bölümler içermektedir.

Mac Geliştiricileri için OpenSSL ve Apple'ın Şifreleme Hizmetleri Kılavuzunun PDF sürümü

Bunu göz önünde bulundurarak, geriye kalan tek sorun OpenSSL'ye karşı oluşturulan ek yazılımlar, örneğin, OpenSSL'in yamalı 1.x sürümüne güncellemek için birkaç Homebrew ( brew updatearkasından brew upgrade) veya MacPorts'ta ( port self updateardından port upgrade openssl).

Ayrıca, Apple'ın hala OS X ile birlikte verdiği "güvenli" sürümüne bağlı olmak yerine, bu kitaplığı Apple tarafından önerilen şekilde paketleyen başka uygulamalarınız varsa, openssl adlı dosyaları kontrol etmek için mdfind / mdls komutunu kullanabilirsiniz.

for ff in `mdfind kMDItemFSName = "openssl"`; do echo "#### $ff"; mdls $ff | grep kMDItemKind; done

— bmike
kaynak

MacPorts kullananlar için güncellenmiş bir OpenSSL de yayınladılar. Koşu port selfupdateardından port upgrade opensslgelen 1.0.1g sabit sürümünü alırsınız.

— coredumperror,

@CoreDumpError Bunun için teşekkürler - Komutlarınızı cevaba gömdüm, böylece insanlar bunu homebrew "tarif" in hemen yanında açıkça göreceklerdi.

— bmike

Ayrıca, Apple'ın istemci yazılımının, OpenSSL'yi değil , Apple'ın kendi kodu olan Secure Transport'u kullandığına dikkat etmek gerekir ; Aynısı, 'Net üzerinden iletişim kurmak için Cocoa veya Core Foundation API'lerini kullanan herhangi bir yazılım için de geçerlidir.

— alastair

Merak: Apple'ın neden OpenSSL kullanmayı bıraktığını biliyor musunuz?

— Roberto

FWIW - Apple'ın SSL kodunda 2 aydan daha kısa bir süre önce ilgisiz bir hata bulundu: nakedsecurity.sophos.com/2014/02/24/…

— Elliot

Ben yayınlandıktan openssl versionellerimi alabilir her Mac Ben ¹ ve bunlardan gösteri hepsi:

OpenSSL 0.9.8y 5 Feb 2013

… En son sürümle birlikte: OS X 10.9.2.

Bu nedenle , OS X sürümünün Heartbleed'den etkilenmediği sonucuna varabilirim.

^{¹ ve ayrıca yapamadığım ve sadece SSH olanları - yine de test edildi, üretim makineleri önemlidir! Sonuçta, çeşitli OS X sürümleriyle 30 makineyi test ettim.}

— grg
kaynak

> TLS kalp atışı uzantısının kullanımında eksik bir sınır kontrolü, bağlı bir istemciye veya sunucuya 64k'a kadar belleği ortaya çıkarmak için kullanılabilir. > ** OpenSSL'de sadece 1.0.1 ve 1.0.2-beta bültenleri 1.0.1f ve 1.0.2-beta1 dahil etkilenir. ** ile openssl.org , (vurgu). Grgarside'ın dediği gibi ...

— dwightk

@dwightk Bu soru, hangi OS X sürümlerinin etkilenen OpenSSL sürümünden birine sahip olduğu ile ilgilidir. OpenSSL'nin etkilenen sürümleri iyi bilinmektedir, yine de teşekkürler.

— MDMoore313

OS X, OpenSSL'nin etkilenen sürümleriyle birlikte gönderilmese openssl versionde, bazı üçüncü taraf paketlerinin bir parçası olarak kurulabilecek bir durumda olması hala şiddetle tavsiye edilmektedir .

Örneğin, bilgisayarım OpenSSL 1.0.1f 6 Jan 2014MacPorts aracılığıyla kurduğum bir şeye bağımlılık olarak dahil edildiğini bildirdi . sudo port upgrade outdatedElbette, bunu çözdü.

— Daniel Perván
kaynak

OS X öyle (OSX değil).

— Peter Mortensen

@Peter Mortensen: Sabitlenmiş :)

— Daniel Perván

Ve, 1.x'iniz varsa, ideal OpenSSL 1.0.1g 7 Apr 2014olarak güvenli / yamalı sürümü göreceksiniz .

— drfrogsplat