Apple schließt mit neuem iOS-Update eine SSL-Sicherheitslücke
Mit der Veröffentlichung von iOS 4.3.5 hat Apple eine SSL-Sicherheitslücke geschlossen, mit der Angreifer die verschlüsselte SSL/TLS-Kommunikation ausspähen und modifizieren konnten. Typisch für solche Angriffe muss sich der Kriminelle im Netzwerk zwischen dem Opfer und der eigentlichen Webseite positionieren, beispielsweise in Form eines öffentlichen WiFi-Netzes. Anschließend kann er
dem Opfer ein manipuliertes SSL-Zertifikat unterschieben, mit dem er Einsicht in die verschlüsselten Daten erhält. Um dies zu verhindern, hat Apple mit iOS 4.3.5 die Prüfung der SSL-Zertifikate verbessert und prüft nun die Gültigkeit aller Stellen eines verketteten Zertifikates. Vor zehn Tagen hatte Apple bereits mit Veröffentlichung von iOS 4.3.4 mehrere Sicherheitslücken geschlossen, die sich zur Einschleusung schädlicher Programmeinweisungen eigneten. Durch ein manipuliertes PDF-Dokument hatten Hacker die Lücken bereits für einen Web-basierten Jailbreak ausgenutzt, um auf Wunsch des Nutzers den alternative App Store "Cydia" auf iPad, iPhone oder iPod touch zu installieren.
Weiterführende Links: