हार्ट एक्सल से OS X के कौन से संस्करण प्रभावित हैं?

Question

ओपनएसएसएल के प्रभावित संस्करणों के साथ ओएस एक्स के कौन से संस्करण डिफ़ॉल्ट हैं ?

सभी इंटरनेट ट्रैफ़िक अभी पर्यावरण में मैकिंटोश की ओर ध्यान दिए बिना हार्टबल बग के संबंध में एक ही सामान्य जानकारी के साथ भरा हुआ है। मैं मैक ओएस एक्स क्लाइंट के साथ-साथ मैक ओएस एक्स सर्वर के बारे में जानकारी ढूंढ रहा हूं। अभी यह मेरे लिए अव्यावहारिक है कि ओपनएसएसएल के अपने विशिष्ट संस्करण के लिए पर्यावरण के सभी मैक की जांच करें , लेकिन मेरे पास पहले से ही प्रभावित मशीनों के लिए मैक ओएस एक्स संस्करण की जानकारी है।

Comments

यह वेब सर्वर के लिए एक चिंता का विषय है, क्योंकि क्लाइंट उनसे कनेक्ट करने के लिए उपयोग किया जाता है। अगर आपकी मशीन में OpenSSL का हार्टबल संस्करण नहीं है, तो भी आपकी जानकारी से समझौता किया जा सकता है।

— 28ark

@ मार्क सच है, लेकिन क्या होता है जब कोई ऐसा ऐप चलाना चाहता है जो अपनी मशीन को वेबसर्वर में बदल देता है, और बिल्ट इन ओपनएसएसएल का उपयोग करता है? मैक ऐप्स शायद इतना नहीं हैं, लेकिन यही कारण है कि मैंने ओएस एक्स सर्वर के बारे में भी पूछा। मोबाइल के अधिक अनुप्रयोग होने की संभावना है, हालांकि मोबाइल / बी बहुत सारे मोबाइल ऐप उस कार्यक्षमता को लागू करने का प्रयास करते हैं।

— एमडीमहोर 313

हालांकि, पूरे सवाल में बड़े पैमाने पर याद आती है कि यह क्लाइंट मशीन नहीं है जो खतरे में हैं, लेकिन सर्वर। यदि आप एक ऐसे सर्वर का उपयोग कर रहे हैं जो समझौता किया गया है, तो इससे कोई फर्क नहीं पड़ता कि आप MacOS X या Windows 95 चलाते हैं, आप एक ऐसे सर्वर का उपयोग कर रहे हैं जो आपके बारे में किसी भी जानकारी को लीक कर सकता है। यदि आप अपने स्वयं के मैक का उपयोग सर्वर के रूप में कर रहे हैं तो यह केवल ब्याज की बात है।

— gnasher729

सच नहीं। शोषण का उपयोग दुर्भावनापूर्ण सर्वर द्वारा क्लाइंट के खिलाफ किया जा सकता है जो कनेक्शन बनाने के लिए ओपनएसएसएल का उपयोग करते हैं।

— माइकल हैम्पटन

@ gnasher729 कोई कारण नहीं है कि आप उस बिंदु के बारे में एक अलग सवाल नहीं पूछ सकते जो आपको लगता है कि गायब है। यह Q & A संकीर्ण है और OS X के किन संस्करणों में प्रोग्रामिंग बग द्वारा नेटवर्क में अपनी मेमोरी सामग्री को उजागर किया जा सकता है, इस पर ध्यान केंद्रित किया गया है। यह किसी भी मैक उपयोगकर्ता के लिए या यहां तक ​​कि किसी भी बड़ी तस्वीर के लिए एक सामान्य जोखिम मूल्यांकन नहीं है।

— bmike

Answer 1

OS X का कोई भी संस्करण प्रभावित नहीं है (और न ही iOS प्रभावित है)। केवल थर्ड पार्टी ऐप या मॉडिफिकेशन स्थापित करने से मैक या OS X प्रोग्राम होता है जिसमें ओपनएसएसएल वर्जन 1.0x।

---

Apple ने OSSS पर OpenSSL को 2012 के दिसंबर में शुरू किया था यदि पहले नहीं तो। OpenSSL का कोई भी संस्करण जो CVE-2014-0160 (उर्फ द हार्टब्लड बग ) के लिए असुरक्षित है

Apple कई वैकल्पिक अनुप्रयोग इंटरफेस प्रदान करता है जो मैक डेवलपर्स को एसएसएल प्रदान करता है और ओपनएसएसएल के बारे में यह कहना है:

ओपनएसएसएल संस्करण से संस्करण तक एक स्थिर एपीआई प्रदान नहीं करता है। इस कारण से, हालांकि OS X OpenSSL लाइब्रेरी प्रदान करता है, OS X में OpenSSL लाइब्रेरी को हटा दिया जाता है, और OpenSSL को कभी भी iOS के भाग के रूप में प्रदान नहीं किया गया है। ऐप द्वारा ओएस एक्स ओपनएसएसएल पुस्तकालयों का उपयोग दृढ़ता से हतोत्साहित किया जाता है।

विशेष रूप से, नवीनतम OpenSSL के संस्करण एप्पल द्वारा भेज दिया है OpenSSL 0.9.8y 5 फ़र, 2013 जो वापस पुस्तकालय की एप्पल के संस्करण के लिए कोड को पोर्टेड OpenSSL के नए संस्करण से बग है प्रतीत नहीं होता है।

इस दस्तावेज़ के पीडीएफ में डेवलपर्स के लिए कुछ स्पष्ट रूप से लिखित सलाह और कुछ अनुभाग हैं जो पेशेवरों या सुरक्षा दिमाग वाले उपयोगकर्ता के लिए भी उपयोगी हैं।

• मैक डेवलपर्स के लिए ओपनएसएसएल और एप्पल के क्रिप्टोग्राफिक सर्विसेज गाइड के पीडीएफ संस्करण

इसे ध्यान में रखते हुए, केवल शेष मुद्दा अतिरिक्त सॉफ्टवेयर होगा जो ओपनएसएसएल के खिलाफ बनाया गया था, उदाहरण के लिए होमबॉव ( brew updateइसके बाद brew upgrade) या मैकपोर्ट ( port self updateइसके बाद port upgrade openssl) में ओपनएसएसएल के 1.x संस्करण को अद्यतन करने के लिए।

इसके अलावा, आप mdfind / mdls का उपयोग उन फ़ाइलों पर जाँच करने के लिए कर सकते हैं जिनके नाम में Opensl है यदि आपके पास अन्य एप्लिकेशन हैं जो कि लाइब्रेरी को Apple के रूप में बंडल करता है बजाय इसके कि "सुरक्षित" संस्करण पर निर्भर करता है Apple अभी भी OS X के साथ जहाज करता है।

for ff in `mdfind kMDItemFSName = "openssl"`; do echo "#### $ff"; mdls $ff | grep kMDItemKind; done

Comments

MacPorts का उपयोग करने वालों के लिए, उन्होंने एक अद्यतन OpenSSL भी जारी किया है। port selfupdateइसके बाद चलने पर port upgrade opensslआपको निश्चित 1.0.1g संस्करण मिलेगा।

— coredumperror

@CoreDumpError इसके लिए धन्यवाद - मैंने जवाब में आपकी आज्ञाओं को एम्बेड किया ताकि लोग इसे होमब्रेव "नुस्खा" के ठीक बगल में स्पष्ट रूप से देखें।

— bmike

यह भी ध्यान देने योग्य है कि ऐप्पल का क्लाइंट सॉफ़्टवेयर सिक्योर ट्रांसपोर्ट, ऐपल के स्वयं के कोड का उपयोग करता है, ओपनएसएसएल का नहीं ; वही 'नेट' पर संवाद करने के लिए कोको या कोर फाउंडेशन एपीआई का उपयोग कर किसी भी सॉफ्टवेयर के लिए जाता है।

— एलेस्टेयर

जिज्ञासा: क्या आप जानते हैं कि Apple ने OpenSSL का उपयोग क्यों बंद कर दिया?

— रॉबर्टो

: - FWIW एक असंबंधित बग एप्पल के एसएसएल कोड में कम से कम 2 महीने पहले मिला था nakedsecurity.sophos.com/2014/02/24/...

— इलियट

Answer 2

मैंने openssl versionहर मैक पर दौड़ लगाई है जो मुझे ¹ पर अपने हाथ मिल सकते हैं और उनमें से सभी शो हैं:

OpenSSL 0.9.8y 5 Feb 2013

... वर्तमान नवीनतम संस्करण सहित: OS X 10.9.2।

इसलिए मैं यह निष्कर्ष निकाल सकता हूं कि OS X का कोई भी संस्करण हार्टबल से प्रभावित नहीं है।

^{1 और भी मैं नहीं कर सकता था और अभी भी SSH था - फिर भी परीक्षण किया गया, हालांकि उत्पादन मशीनें महत्वपूर्ण हैं! सभी में मैंने ओएस एक्स के विभिन्न संस्करणों के साथ लगभग 30 मशीनों का परीक्षण किया।}

Comments

> टीएलएस दिल की धड़कन के विस्तार से निपटने में एक लापता सीमा की जाँच एक कनेक्टेड क्लाइंट या सर्वर के लिए 64k तक मेमोरी को प्रकट करने के लिए किया जा सकता है। > ** केवल 1.0.1 और ओपनएसएसएल के 1.0.2-बीटा रिलीज़ 1.0.1f और 1.0.2-बीटा 1 सहित प्रभावित होते हैं। ** के माध्यम से Opensl.org , (जोर जोड़ा)। तो जैसा कि गार्गसाइड ने कहा ...

— dwightk

@dwightk सवाल यह था कि OS X के कौन से संस्करण में OpenSSL का एक संस्करण है। OpenSSL के जो संस्करण प्रभावी हैं, वे सर्वविदित हैं, धन्यवाद।

— MDMoore313

Answer 3

हालांकि OS X ओपनएसएसएल के प्रभावित रिलीज के साथ जहाज नहीं करता है, यह अभी भी दृढ़ता से प्रोत्साहित openssl versionकिया जाता है जब कोई तीसरे पक्ष के पैकेज के हिस्से के रूप में स्थापित हो सकता है।

उदाहरण के लिए, मेरे कंप्यूटर ने रिपोर्ट किया OpenSSL 1.0.1f 6 Jan 2014क्योंकि यह मैकपॉर्ट्स के माध्यम से मेरे द्वारा इंस्टॉल की गई किसी चीज के लिए निर्भरता के रूप में शामिल किया गया था। sudo port upgrade outdatedबेशक, यह हल।

Comments

OS X यह (OSX नहीं) है।

— पीटर मोर्टेंसन

@Peter मोर्टेनसेन: फिक्स्ड :)

— डैनियल पेरवान

और, यदि आपके पास 1.x है, तो आदर्श रूप से आप OpenSSL 1.0.1g 7 Apr 2014सुरक्षित / पैच किए गए संस्करण के लिए देखेंगे ।

— ड्रफ्रोप्लास्पैट