Apple ha rilasciato una patch per il cosiddetto bug del “triplo handshake”, una vulnerabilità grazie alla quale potrebbe essere possibile bypassare le protezioni crittografiche delle comunicazioni su canale HTTPS per rubare informazioni e dati sensibili dell’utente.
Il bug è presente in iOS 7.1 e precedenti, Mac OS X 10.8.5 (“Mountain Lion”) e 10.9.2 (“Mavericks”) e permette di condurre un attacco di tipo “man-in-the-middle” in cui un malintenzionato potrebbe dirottare la connessione sicura dell’utente con certificati crittografici diversi da quelli della connessione originale.
La patch fa in modo che una eventuale rinegoziazione di connessione sia forzata a usare lo stesso certificato server adottato nella connessione precedente, spiegano da Cupertino, inibendo così la possibilità di rubare informazioni durante le comunicazioni protette da protocolli HTTPS.
Il bug del triplo handshake è stato risolto, ma laddove Apple non può intervenire è sui terminali sbloccati (iPad e iPhone) che non a caso rappresentano uno dei target preferiti dai cyber-criminali attivi sulla scena iOS .
Un malware emerso di recente è progettato per “ascoltare” i dati su comunicazioni SSL nel tentativo di rubare Apple ID e password dell’utente, un’operazione facilitata dal fatto che il codice malevolo è firmato digitalmente con un account da sviluppatore riconducibile a un certo Wang Xin.
Alfonso Maruccia
Ti potrebbe interessare
24 apr 2014