OS X 10.9.1 tietoturvaongelmia

[jani73]

http://www.theregister.co.uk/2014/02/23 ... 9_ssl_fix/

Apple has admitted a bug in Mac OS X 10.9.1 allows hackers to intercept and decrypt SSL-encrypted connections – and has vowed to release a fix "very soon."

Sensitive information, such as bank card numbers and account passwords, sent over HTTPS, IMAPS and other SSL-protected channels from vulnerable Mac computers could easily end up in the hands of snoopers as a result of this security hole.

[amanita]

Pelkän linkin lisäksi on asiallista kirjoittaa linkin aiheesta edes jotain, joten lisäähän tekstiä.

[adele]

Artikkelissa luki:

could allow...could easily end up...could exploit

Jos laitetaan liha tarinan ympärille se kuulostaa seuraavalta:
Gate being open could allow the wolf to exploit it and easily come in, then the user could end up being eaten by the wolf.

iOS:ssä sudelle on paikko, jos asentaa 7.0.6:n, joka on jaossa.

OSX Mavericks jota reikä koskee, odottaa yhä 4kk käyttiksen julkaisusta 10.9.2 päivitystä, luultavimmin se saa paikon tuolloin... eli joskus hamassa tulevaisuudessa, onhan vasta seitsemäs (=7:s) 10.9.2 beta jaettu kehittäjille. Eläköön!
Jos haluaa olla turvassa ei kannata käyttää Safaria, vaan muita selaimia, jotka eivät käytä SSL-kirjastoa

[apsev]

Kyberturvallisuuskeskuksen (ent. cert.fi) tiedote (https://www.cert.fi/haavoittuvuudet/201 ... 4-028.html):
"
Applen iOS- ja Mac OS X -käyttöjärjestelmistä on löydetty haavoittuvuus, jonka vuoksi SSL/TLS-yhteyden suojausta ei aina tarkisteta. Haavoittuvuuden seurauksena hyökkääjän on niinsanotun MITM- eli man in the middle -hyökkäyksen avulla mahdollista esiintyä käyttäjän tavoittelemana palvelimena ja saada selville tai muokata luottamuksellista tietoa.
Haavoittuvuus sijaitsee Secure Transport -komponentissa, joka DHE- tai ECDHE-avaimenvaihtoa käytettäessä ei tarkista avaimenvaihdon allekirjoitusta. Näin ollen hyökkääjä voi esittää palvelimen aidon varmenteen, vaikka siihen liittyvää salaista avainta ei olisikaan käytettävissä.
Haavoittuvuus ei koske OS X:llä esimerkiksi Chrome- ja Firefox-selaimia, sillä ne käyttävät omaa SSL-toteutustaan.
HAAVOITTUVAT OHJELMISTOT:

iOS 7.0.5 ja vanhemmat versiot
iOS 6.1.5 ja vanhemmat versiot
Mac OS X 10.9 ja 10.9.1

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä iOS-mobiililaitteiden ohjelmisto automaattisella päivitystoiminnolla korjattuun versioon:

iOS 7.0.6
iOS 6.1.6

Mac OS X:lle ei toistaiseksi ole tarjolla korjauspäivitystä.
"

[Omppu-ukko]

Täytyisiköhän olla kovin huolissaan siitä, mitä tähän saakka on tullut tehtyä nyt turvattomaksi huomatulla OS X 10.9.1:llä? Lähinnä nyt tarkoitan verkkopaikin käyttöä ja luottokortilla maksaminia netissä.

Pitää varmaan käyttää Firefoxia kunnes tähän tulee jokin korjaus tai sitten hoitaa pakolliset raha-asiat iPadilla

[masa]

Koskee heitä jotka käyttävät avoimia wlan verkkoja jossain kylillä. Omassa kotoverkossa joka on kohtuullisesti suojattu ei ongelmaa ole.

[jk]

Onko se nyt niin että koskee vain mavericksiä ja ei mountain lionia? Cert.fi ei puhu kuin 10.9 ja 10.9.1 käyttiksistä.

[pallo]

Mää kävin ostamassa jo varastot täyteen folioo, ihan vaan varmuuden varmistamiseksi.

[Hepo]

http://opensource.apple.com/source/Secu ... Exchange.c
http://opensource.apple.com/source/Secu ... Exchange.c

Rivi 631:
http://www.diffnow.com/?report=4ly3e

OSX:ssä muutos tullut 10.8.5->10.9.

Ihmetyttää miten tollasta bugia ei ole saatu kiinni aiemmin Applen kokoisessa firmassa.

[spiidi78]

Osx:ssä tuo koskee vain suoria IP-osoitteita, ei domaineja. Eli aika pieni todennäköisyys kenenkään normikäyttäjän joutua uhriksi. Itselläni ainakin pistää hälytyskellot soimaan jos pitää mennä pankkisivuille tai nettikauppoihin jollain 86.68.233.xxx osoitteella.

[Hepo]

Osx:ssä tuo koskee vain suoria IP-osoitteita, ei domaineja. Eli aika pieni todennäköisyys kenenkään normikäyttäjän joutua uhriksi. Itselläni ainakin pistää hälytyskellot soimaan jos pitää mennä pankkisivuille tai nettikauppoihin jollain 86.68.233.xxx osoitteella.

Ainakin tuon sivun mukaan wifi verkossa on tuo riski:
https://gotofail.com

An attacker able to actively intercept your network connections (this is possible on most WiFi networks) can freely snoop on you, for example when you log into your bank account.

[ssufin]

Laittaneet 10.9.2:n jakoon.

[masa]

769 mb- aikas iso klöntti.

[MacFinn]

Mulla oli kait jotain 490 Mt mutta asennus hitain mitä olen päivityksissä nähnyt. Toki siinä oli paljon muutakin kuin tuo SSL-bugi.

[lsippu]

Mulla oli kait jotain 490 Mt mutta asennus hitain mitä olen päivityksissä nähnyt. Toki siinä oli paljon muutakin kuin tuo SSL-bugi.

Juu, 10.9.2 kesti tosi kauan. Ilmeisesti poisti jotain vanhaa töhnää systeemistä, koska teki käyttäjän alle kansion "Yhteensopimattomat ohjelmat", sieltä löytyi pari vanhaa ohjelmaa, jotka olin mielestäni jo poistanut, mutta silti jotain preferenssejä, sekä plist-tiedostoja ohjelmista oli käyttiksen syövereihin jäänyt. Nyt heivasin koko kansion roskiin. Kaikki tuntuu skulaavan ihan normaalisti ja samalla päivitin myös Epsonin uudet printteriajurit, melkoinen paketti oli sekin kooltaan. 1,16Gt?
http://support.apple.com/kb/DL1398

[Omppu-ukko]

Juu, 10.9.2 kesti tosi kauan. Ilmeisesti poisti jotain vanhaa töhnää systeemistä, koska teki käyttäjän alle kansion "Yhteensopimattomat ohjelmat", sieltä löytyi pari vanhaa ohjelmaa, jotka olin mielestäni jo poistanut, mutta silti jotain preferenssejä, sekä plist-tiedostoja ohjelmista oli käyttiksen syövereihin jäänyt. Nyt heivasin koko kansion roskiin. Kaikki tuntuu skulaavan ihan normaalisti ja samalla päivitin myös Epsonin uudet printteriajurit, melkoinen paketti oli sekin kooltaan. 1,16Gt?
http://support.apple.com/kb/DL1398

Samansuuntaiset havainnot täällä, päivitys kesti kyllä melkoisen kauan noin Mac-koneiden mittapuulla mitattuna. Taisi koko hommaan latauksineen mennä joku parisenkymmentä minuuttia. No, kyllähän tuon vielä malttoi odotella...

Minulle ei ilmestynyt tuota mainitsemaasi "Yhteensopimattomat ohjelmat"-kansiota käyttäjän alta. Ei kai sitten ollut koneessa mitään yhteensopimatonta uusimman päivityksen kanssa.

Minulle ei ohjelmiston päivitys tarjonnut mitään Epsonin ajuripakettia, iTunes-päivitys tuli 10.9.2:n kanssa. No, ei minulla ole kyllä käytössäkään Epsonin tulostimia...

Päivitys meni kaikin puolin ok ja mitään poikkeavaa ei ainakaan vielä ole tullut vastaan jos olisi päivityksen aiheuttamaa