蘋果「篡改」cURL行為引起開發(fā)者不滿 這種篡改實(shí)際弱化了安全性 – 藍(lán)點(diǎn)網(wǎng)
cURL 開發(fā)者丹尼爾上周在博客中發(fā)布了一篇文章抨擊蘋果 “篡改” cURL 導(dǎo)致的蘋果 “安全問題”,這個問題最初是篡改篡改 2023 年 12 月有用戶提交的,跟蹤 ID 為 12604。行為性藍(lán) 丹尼爾針對該問題進(jìn)行調(diào)查后發(fā)現(xiàn)這并不是引起 cURL 的問題,而是滿種蘋果在部署中進(jìn)行了一些修改,為此丹尼爾發(fā)郵件給蘋果,實(shí)際蘋果安全團(tuán)隊還表示有意這么干的弱化,不需要 “修復(fù)”。安全 大概情況是點(diǎn)網(wǎng)這樣的: cURL 允許開發(fā)者使用參數(shù) –cacert 來指定一組 CA 證書,如果 TLS 服務(wù)器無法對這組證書進(jìn)行驗證時,蘋果那么應(yīng)該失敗并返回錯誤。篡改篡改 這種特殊行為早在 2000 年 12 月就已經(jīng)添加到了 cURL 中,行為性藍(lán)這讓開發(fā)者可以只對特定的引起 CA 證書進(jìn)行信任,而不是滿種信任所有有效的 CA 證書,比如防止某些 CA 因為審核不嚴(yán)導(dǎo)致簽發(fā)錯誤證書進(jìn)行劫持。實(shí)際 在 macOS 中,開發(fā)者仍然可以使用這個參數(shù),但蘋果的處理方法是檢查系統(tǒng)的 CA 存儲庫,也就是直接驗證蘋果在 macOS 中指定的那組 CA 證書,而不是開發(fā)者指定的一組 CA 證書。 因此當(dāng)開發(fā)者使用一組進(jìn)行編輯的特定 CA 證書時,正常情況下不包含在這組 CA 證書中的證書那應(yīng)該失敗,但如果這個 / 這些證書位于 macOS 存儲庫中,那么 cURL 不會返回失敗。 所以這實(shí)際上是一個安全缺陷。 針對此問題丹尼爾在 2023 年 12 月 29 日向蘋果安全團(tuán)隊報告,這不是一個大問題,但確實(shí)是個問題。 直到 2024 年 3 月 8 日蘋果才回復(fù)郵件: Apple 版本的 OpenSSL (LibreSSL) 有意使用內(nèi)置系統(tǒng)信任存儲作為默認(rèn)信任源,由于可以使用內(nèi)置系統(tǒng)存儲成功驗證服務(wù)器證書,因此我們認(rèn)為不需要在我們的平臺中解決。 對于這個說法丹尼爾并不同意,因為實(shí)際上這篡改了 cURL,這個未記錄的功能使得 macOS 用戶使用 cURL 時,CA 驗證完全不可靠并且與 cURL 的文檔不符,這是蘋果在欺騙用戶。 問題是這并不是 cURL 的問題,因此丹尼爾無法發(fā)布 CVE 或任何內(nèi)容,于是現(xiàn)在問題陷入了僵局。
- 最近發(fā)表
-
- 《靈魂戰(zhàn)甲》地圖情報:制作團(tuán)隊更注重世界密度
- 「白電三巨頭」卡位戰(zhàn):海爾高端發(fā)力,美的多元化成勢,格力逐步掉隊
- 《星之陸天2》重制版PC建設(shè)公布:又一款D減稀游戲
- 騰勢D9 PREMIER創(chuàng)始版四座2024年一季度交付 預(yù)售價66萬元
- 戀愛視覺小說《片輪少女》將于8月16日在Steam發(fā)售
- 2023北京八達(dá)嶺少鄉(xiāng)夜游時候及預(yù)定指北
- 6月好國主機(jī)銷量:只需PS5同比刪減 新游熱度助力
- 郭靜出講13年感激粉絲 自侃常被問借正在演藝界嗎
- 《荒野大鏢客2》預(yù)購獎勵曝光 可獲得獨(dú)家藏寶圖
- 18批次小品牌足機(jī)有觸電傷害 體會下躲雷!
- 隨機(jī)閱讀
-
- 《魔界王物語》2月25日上午11點(diǎn)測試開啟
- 三星第二季度營業(yè)利潤或暴跌96% 降至14年來最低水平
- 三星S10足機(jī)有三款甚么時候公布:后置三攝+前置單攝
- 分期九宮格終究齊了!易烊千璽曬自拍帥氣出鏡
- 《拂曉:勝利之刻》夏熾花水 松握隆冬
- 零跑C10將于2024年1月開啟預(yù)售 零跑汽車?yán)塾嫿桓冻?0萬臺
- 小叫單車停業(yè)案停頓 那么多人等著退押金能真現(xiàn)嗎
- 新iPhone便宜版足機(jī)甚么時候公布 性價比下嗎
- 重磅開“演”!《蛋仔派對》首屆蛋仔電影節(jié)隆重開幕,播映主題全公開
- 微疑蘋果iOS版v6.7.1更新內(nèi)容有哪些 新服從先容
- 問界M9將于今日上市 預(yù)計售價區(qū)間50
- 51諾止卡甚么時候上市古晨正招股 股票代碼2051
- 《寶可夢》Switch新作3天下載量已突破百萬大關(guān)
- 國美旗下支付機(jī)構(gòu)列為被執(zhí)行人
- 聯(lián)發(fā)科6月營收382.19億元臺幣 同比下降25.1%
- 第三代哈弗H6推出限時購車政策 享購置稅全免+1萬元現(xiàn)金補(bǔ)貼
- 通天塔正式登陸《無主王座》小游戲激發(fā)玩家無限潛能
- 集邦咨詢:第二季度全球電視出貨量年增2% 海信刷新單季出貨紀(jì)錄
- 小米上市雷軍身價超越網(wǎng)易丁磊 躋身中國富豪榜前十
- 能否并購伊萊克斯 美的這一局至關(guān)重要
- 搜索
-