说三道四技术文摘-感悟人生的经典句子
说三道四 > 文档快照

安全漏洞影响2.5万iOS应用?AFNetworking维护者发布回应

HTML文档下载 WORD文档下载 PDF文档下载
日前,一则关于著名的iOS网络通信库AFNetworking曝安全漏洞影响2.5万iOS应用的消息铺天盖地而来,引发众多开发者担忧,对此,其维护者Alamofire Software Foundation在GitHub上进行了回应。

日前,一则关于著名的iOS网络通信库AFNetworking曝安全漏洞影响2.5万iOS应用的消息铺天盖地而来,有1000多种应用程序被指称,由于SSL存在Bug,导致这些应用程序容易遭到攻击。对此,由Mattt Thompson一手创立的Alamofire Software Foundation在GitHub上对于AFNetworking曝SSL漏洞引发的众多担忧进行了回应,以下为全文:

背景信息

就此事,对于不熟悉AFNetworking的人,这里有一些与其相关的细节需要了解:

  • AFNetworking是一个第三方开源库,置于苹果内置框架之上,允许开发者向iOS和OS X应用添加网络功能。
  • AFSecurityPolicy是AFNetworking的组件之一,可根据应用程序设置的规则处理验证挑战(authentication challenge),包括通过HTTPS连接时,对服务端返回的X.509证书的评估。
  • 证书锁定(certificate pinning)是一项信息安全技术,它在标准TLS评估的基础上做了改进,通过服务器显式地发送证书来匹配包含在客户端的凭证(credentials)。AFNetworking从版本1.2.0开始一直提供证书锁定技术。
  • 中间人攻击(Man-in-the-Middle Attack, MitM)是在客户端和服务器之间插入攻击者本身,使两边都认为自己和对方在直接通信。
  • 这样的一种攻击方式在客户端和服务器之间会涉及某个不可信的Wi-Fi接入点。没有对响应进行恰当地验证,攻击者就可以拦截通讯信息,用户凭证或其他敏感信息因而会遭到泄露。
AFNetworking官方文档强烈建议应用程序要通过HTTPS进行通信,并且使用证书或公钥锁定技术来弱化MitM这种攻击行为。工程中所包含的示例代码遵循了这些建议,在应用程序中展示了证书锁定的使用方式。

事件回放

  • 2015年2月12日,AFNetworking 2.5.1发布。这一版本包含了一个补丁,修改了证书的安全策略验证方式,将SSLPinningMode修改为AFSSLPinningModeNone。验证挑战过程中,服务器的证书默认是不会被验证的,除非客户端存在与众不同的配置行为,比如使用SSL pinning这样的证书绑定技术。
  • 2015年3月12日,我们从这个GitHub Issue开始意识到上述的修改行为所造成的影响。
  • 2015年3月26日,来自Minded Security Research的Simone Bovi和Mauro Gentile发表了一篇博文,详细说明了AFNetworking 2.5.1潜在的MitM方面的漏洞。
  • 同样在2015年3月26日,AFNetworking 2.5.2发布。这个版本恢复了先前的证书安全策略评估方式。如果安全策略将validatesDomainName设置为YES,那么SSLPinningMode将会被修改为AFSSLPinningModeNone。
  • 2015年4月20日,AFNetworking 2.5.3发布了,该版本做了额外的修改。对所有的安全策略默认设置validatesDomainName为YES。
  • 2015年4月21日,GitHub上新开了一个Issue,要求完善AFNetworking的文档和与安全相关的功能特性。我们正就此积极努力地对参考材料做全面彻底的修改。
  • 还是在2015年4月20日,来自SourceDNA的Nate Lawson发表了一篇博文,宣称某个工具可以识别苹果商店中使用了AFNetworking2.5.1的应用程序。包括来自Ars Technica的Dan Goodin在内的许多记者,在其公布的文章中都引用了该博文并提及了博文的作者。这些公开发布的内容都没有就AFNetworking维护人员的解决方案进行整理而置评。
  • 2015年4月24日,SourceDNA在其后续发布的博文中声称,存在更多带有安全漏洞的应用程序,来自Ars Technica的Dan Goodin随后也发表了一篇带有相同效果的文章。需要强调的是,没有任何一篇公开发表的文章对AFNetworking维护人员的解决方案进行整理而置评。

使用AFNetworking的开发者们可以做什么?

  • 如果应用程序通过HTTPS通信,却没有启用SSL pinning技术的话,应用程序就可能容易受到所报道的MitM攻击。

AFSecurityPolicy的官方文档中的内容:

将固定的SSL证书( pinned SSL)添加到应用程序中,可以帮助应用避免中间人攻击以及存在的其他漏洞。大力鼓励应用程序在处理用户数据或财务信息的时候,所有通信途径都通过HTTPS协议,配置并启用SSL pinning技术。

无论在什么时候,遵循这些建议的应用程序都不应该存在上述安全漏洞。

  • 如果应用使用HTTPS进行通信,并且启用了SSL pinning技术,就不容易遭到所说的MitM攻击。

很大一部分应用程序使用AFNetworking是通过推荐的步骤启用了SSL证书或public key pinning机制的,这些应用程序不太不容遭到上面说的MitM攻击。

  • 如果使用的是先前的版本AFNetworking,我们强烈推荐您升级到版本2.5.3。

AFNetworking 2.5.1和2.5.2包含的默认配置不适合产品级应用程序——特别是如果不进行额外的配置,就不会提供必要的TLS评估。

AFNetworking 2.5.3默认配置更加安全,即使不使用SSL pinning也会进行域名验证。

  • 如果使用NSURLConnection或NSURLSession代替AFNetworking的话,你仍然需要检查验证挑战的实现方式。

苹果内置的NSURLConnection和NSURLSession,还有Security框架所提供的API,都具有对凭证验证的安全实现方式。但是,像任何API一样,某个应用程序的安全性取决于这些API的使用方法。

是否使用AFNetworking本身并不能保证你的应用程序能够灵活应对MitM那样的攻击。是否能够灵活应对攻击完全取决于应用程序使用可用API的方法。在产品环境下,测试应用程序的健壮性和网络安全性最终是开发人员的职责。

对负责任的安全研究和新闻工作的看法

对于终端用户来说,安全研究人员在软件安全方面起着核心作用。研究人员与软件开发人员共同努力,通过遵循既定的负责任的漏洞披露(responsible disclosure),可以快速修复漏洞。同时,将当前用户的风险降到最低。

然而,我们对一些研究人员的做法和一些对AFNetworking的披露感到失望。作为人尽皆知的话题,信息安全从未如此重要。安全研究人员和记者拥有独特的机会来让读者了解这些事实。但不幸的是,这样的披露方式常常通过制造恐惧来增加点击量,而不是客观详实的报道。

尚未有确切的方法可以表明多少应用程序受此问题的影响;这些对安全问题严重程度的揣测摧毁了对问题准确和适度的回应。同样地,根据揣测提出的权利主张对企业和其客户也帮助甚少。

事实上,编写安全的软件一直以来都是一项巨大的挑战。这需要多学科的工程师们一起合作完成。这是一个极其重要的任务,最好由理性且富有责任心的人参与。

作为软件维护人员,我们有很多事情可以做得更好,并积极采取措施来完善自身的组织和流程。从今天起,我们期待与信息安全社区的成员紧密合作,负责任地寻找并解决任何安全漏洞。

对负责任的开源项目维护工作的看法

我们真诚地向使用AFNetworking的开发者和iOS整个开发者社区表示歉意。

作为著名开源项目的维护者,我们有责任提供与高标准相契合的软件,该软件将作为应用程序不可或缺的一部分。我们却没有对应该尽快更新的版本做出回应。我们未能向您有效传达至关重要的安全信息。这所有的一切,我们表示真诚的歉意并负全责。

在未来的几周内,我们将推出重组后的AFNetworking及其相关项目,以确保稳定的通信顺利进行。从用户的角度看,这意味着更加频繁地发布版本,更高的透明度,处理问题与合并请求过程中更多的反馈,我们为此而感到兴奋。

(翻译/白云鹏 责编/唐小引)

文章来源:GitHub


CSDN移动将持续为您优选移动开发的精华内容,共同探讨移动开发的技术热点话题,涵盖移动应用、开发工具、移动游戏及引擎、智能硬件、物联网等方方面面,如果您有想分享的技术、观点,可通过电子邮件(tangxy#csdn.net,请把#改成@)投稿。

第一时间掌握最新移动开发相关信息和技术,请关注mobilehub公众微信号(ID: mobilehub)。


YARN或将成为Hadoop新发力点 主流编程语言属性一览(多图) 粉碎硬件复杂论:开发者不懂硬件运行的方式怎么可以?! 最新版Chrome OS加入Word和Excel编辑功能 直指微软 传诺基亚将购诺西全部股份,疑为出售手机业务做准备? 优秀技术领导者的修成之道 直接拿来用!最火前端开源项目(三) 第八届开源中国开源世界高峰论坛成功举办 曾经那些主流的API,而今风光已不再! Android 4.3本月9日亮相 新功能汇总 移动游戏的国际化运营技巧 Google的Janus与Facebook的McDipper:将闪存用于数据中心 拥抱开源还是坚守阵地:传统数据库供应商面临抉择 超棒的30款JS类库和工具 立场坚定:惠普仍然密谋回到智能手机市场 6月份浏览器份额:Chrome成市场份额增长最快浏览器 关于PHP的十大误解 你中了几个? 专访西电朱虎明:异构计算硬件架构呈现百花齐放 百家争鸣 GSMA行纪:各种神器、好玩的、好看的全搜罗 大数据初创企业WibiData将Hadoop“打包”,谷歌董事长施密特两次参投 赚钱不忘环保 苹果计划为数据中心兴建太阳能发电厂 深度解析:清理烂代码 电信开放平台发布短信验证码API 创业教父Paul Graham谈创业投资趋势 挖掘Linux人才,打造Power生态系统!IBM启动“天合应用服务器定义未来挑战赛” 请不要忽略API的安全性 发布将近?苹果在多地注册“iWatch”商标 苹果聘请某时尚公司CEO为副总裁 将负责“特殊项目” 雅虎5000万美元收购视频分享应用Qwiki 创业第一年易犯的8大错误 苹果推iOS游戏手柄,掌上游戏主机格局变天? 在delphi中使用什么报表控件打印的报表效果较好 谁知道db或dbf头文件的格式? 急急 NMFtp中我想从ftp服务器下载指定文件扩展名的文件,该怎么办? 初始化页面的时候,如何使TextMode="Password"的asp:textbox有默认值显示? IBM软件清库存(大优惠) 又是可恶的乱码问题 struts与数据库!在线等待! 如何开发asp.net程序(基于vb) vc++的链接错误 如何用程序动态的获得activex控件的方法属性事件信息 请教:使用web.xml做资源约束时如何由自己的程序来做用户验证 请问:怎样编程来来虚拟网卡? 急!创建LOOKUP的问题 如何计算cpu和memory的一般的使用上限 新问题请教! 老问题:从Excel文件里把数据导入导数据库中 有汇编玩的非常牛的人吗??? 字符串操作的简单问题 学习J2EE需要装什么软件? >>有关记录的问题??<< 请高手指教:出现“ORA12663:服务器未提供客户机要求的服务”问题,怎么解决? 大侠救我! 动态sql问题请教,谢谢 填充combobox的问题 windowsxp不能创建拨号连接 怎樣轉換時間格式 ACCESS问题 Linux下上网问题?在线等待!急!急!急! 终极讨论:从Excel文件里面导入数据 winsock的问题 关于WINDOWS下邮件程序编写问题 Solaris下的Makefile问题 在lan里面的两台主机之间怎么配ppp连接,没有modem 我的SQL数据库安装的是实例,好象有问题哦! 高分求票据、合同套打代码! 事务问题,请大家帮忙,在线等待,50分相送!!!! xml解析的问题? 关于CRuntimeClass,请指教。 100分求解(在线等待) 终极讨论:从Excel文件里面导入数据 CString怎样转换为char * 类型? 有关爱情与事业的讨论! replace(replace(replace(replace(str,"<","&lt;"),">","&gt;"),chr(13),"<br>")," ","&nbsp;")是什么意思? 非常简单的问题!!! 看看这个portal做的怎么样? 如何去掉word中的页码 兄弟们,帮忙推荐一本powerDesigner的中文书籍,电子书籍也可以,在线等待!thanks! 动态sql问题请教,谢谢 为什么我的OnTimer不响应呀 为什么javabean能连到oracle而jsp调用这个bean却连不上。 如何将一个xml倒过来输出 doing是什么意思 久别重逢怎么造句 判断题:在我国,中央国家领导人都是由全国人民代表大会选举产生.麻烦解答下,还有一题:行政诉讼即人民法院对具体行政行为的合法性与合理性进行审查的司法活动. 已知a,b为非零向量,函数f(x)=(xa+b)(a-xb),则使f(x)的图像为关于y轴对称的抛物线的一个必要不充分条件是A.a⊥bB.a平行bC.|a|=|b|D.a=b 南美白对虾、罗氏沼虾与中国对虾生活习性的对比 弃捐勿复道,努力加餐饭 形容一个人出门便要打扮漂亮,而家中乱得如垃圾堆一般的词语 英语翻译a telecommuting work force can help business-owners substantially curtail the overhead costs,such as the costs of rent and utilities “弃捐勿复道,努力加餐饭.” A.步步惊心 B.步步惊情 C.金玉良缘 D.犀利仁师 爱因斯坦的最大失误怎么样 两阶段法求线性规划问题maxz=10x1十15x2十12x3{5x1十3x2十x3=0并指出属哪一类解 收油方向跑偏是怎么回事? 仲永从幼年的天资过人却落得个“泯然众人”的结局,这个故事给了你哪些启发呢?请你从不同角度思考.(1)从仲永的经历来看(2)从仲永父亲的行为对仲永的影响来看 大虾和小虾有嘛区别?大虾比小虾大嘛. 方向跑偏都有哪些原因? 罗氏沼虾名字的由来 IT项目管理中线性规划的方法? 万有引力与分子(原子)运动我们知道万有引力是长程力,万有引力会对分子(原子)运动这样的微观世界产生影响吗?他们又是怎样的关系? 韶山冲的读音“韶山冲”的“韶”怎么读?急用! 英语force;yenilated翻译什么 月考了,有一道英语完形 我才刚读高中 One famous artist Sheikh went back to his hometown.He hadn't seen one of his friends for many year,who was a 1 and needy man.When Sheikh asked about hime,he was told by people that the man he was 2 w 喜阴的农作物有哪些? 毛泽东的老家湖南省湘潭市韶山冲,“冲”是指什么?是行政单位吗? 英语翻译whose strength is proportional to the product of the objects' masses and inversely proportional to the square of the distance between them看了十分头昏… 在北方什么农作物喜阴 “韶山冲”中“冲”的意思是 光子为何能受到万有引力的吸引?这是困扰了我高三一年的问题.光子是能量体,不具有质量,根据万有引力定律,可以知道光子是不会受到黑洞的吸引的,可是为什么还说光子逃逸不了黑洞?除非光 什么作物喜阴 韶山冲为什么那么出名?韶山冲的“冲”是什么意思?湖南省湘潭市下辖的韶山市,有一个地方叫韶山冲,在全中国都很出名.一个小地方为什么那么有名气呢?韶山冲的“冲”是什么意思? 蝉的生命意义是什么, 兵的故事;”但此刻,他肯定是最感寒冷的一个人“?这句话和故事的结局有什么关系? 韶山冲的冲是什么意思 高柳乱蝉嘶上句是什么 有什么喜阴的作物啊?我想种在我家的大树下! 我就是L音不准,怎么发音, 那久别重逢造句 为什么说“但此刻,他肯定是最感寒冷的的一个人”?这句话和故事的结尾有什么关系?《兵的故事》天黑了.暴风雪呼啸得更加(愤怒 狂怒).一辆客车已经被暴风雪困在公路上六七个小时.车上 人有悲欢离合,月有阴晴阳缺,此事古难全,但愿人长久,千里共蝉娟, 一个正方形,它的周长等于它的面积吗? 《兵的故事》中为什么说"但此刻,他肯定是最感寒冷的一个人”?这句话和故事的结局有什么关系?” 但愿人长久,千里共蝉娟. 面积为121平方厘米的正方形的周长是多少厘米?11乘11等于121 11这数字从哪来的? 为什么说但此刻,他肯定是最感到寒冷的一个人?这句话和故事的结局有什么关系天黑了.暴风雪呼啸得更加(愤怒 狂怒).一辆客车已经被暴风雪困在公路上六七个小时.车上二十几名乘客中,有 但愿人长久,千里共蝉娟. 正方形的周长等于圆的周长,那么它们的面积 中华人民共和国第十一届全国人民代表大会第二次会议是什么时候开的 但愿人长久,千里共蝉娟.的意思? 代表拼音“xi ji”的文字是什么? 第十一届全国人民代表大会第四次全体会议什么时候召开? 祈祷的音怎么读 我想去外国读高中,但是英语不好,家境也一般,去国外读高中哪个国家便宜一点,需要哪些准备? 第十一届全国人民代表大会什么时候开始,什么时候结束? 但愿人长久,千里共蝉娟!这句话的正确解释是什么? 弃捐勿复道 努力加餐饭. 方仲永从神童到“泯然众人”,这种变化的根本原因是用原文回答 “L”的发音不准怎么办 弃捐勿复道,努力加餐饭 方仲永由神通到泯然众人矣的三个原因是什么 发音不准(了.来)的音说不好怎么办?那位亲知道发音不准怎么治疗.了来说不好 上医院看了有的说要割舌系带有的说割了没用 .不知道怎么办了唉 犀利仁师中 弃娟勿复道 努力加餐饭 是 肯尼亚“追日”记――“昼夜”交替11数万伊朗抗议者举行“占领美国使馆”集伊朗反美示威游行 纪念占领美使馆事件外交部:将协助芭堤雅沉船事件死伤中国嘉兴两车相撞致磷酸罐体泄漏 方圆几百全运会后至今未归队 孙杨因多项违纪事浙江桐乡获批中国首个旅游综合改革试点巴前总统穆沙拉夫获准保释 有望结束半日本东京华人聚集地开设“东方红”餐厅穆尔西出庭坚称仍是埃及合法总统 拒绝穆尔西出庭坚称仍是埃及合法总统 拒绝伊朗反美示威游行纪念占领美使馆事件3柬埔寨迎来“今日中国”艺术周浙江体院对孙杨做出停赛停训停止商业活肯尼亚大法官判轮奸犯“割草赎罪” 逾美国芝加哥机场电梯内惊现短吻鄂 来历穆尔西要求审判军方领导人 称政变是叛亚太地区主要股市下跌中美电影节洛杉矶开幕 中国电影界阵容韩国首次以地面电视方式播出3D节目外交部:已要求澳方就有关监听活动作出丰县干部培训“回头看”引路“向前走”“小德”晋级启东合作镇“微型党课”创新党员教育嫦娥三号按时进入第33个月夜只要党把人民凝聚起来 就能战胜各种困“只要主变没‘中暑’就好!”推进海绵城市建设的江苏路径健美健身 已是我生命一部分司法人员独立办案吃下“定心丸”非遗传承, 商业化不是洪水猛兽中车浦镇公司产品远嫁北非秦淮:原真保护延续南京根脉金湖:满足激增空调用电需求东沙湖成立异地党支部吴中让园博“遗产”活起来南京降低养老保险缴费比例抓好“四结合”,沿海开发急先锋单日播放量破千万的神曲土耳其军方披露未遂政变规模欧洲10亿英镑武器流向中东“购房落户”者需年内取得产权证
备案号:鲁ICP备13029499号-2 说三道四 www.s3d4.cn 说三道四技术文摘