Apple: iOS erhält SSL-Bugfix, OS X bald auch
Apple hat zwei neue iOS-Versionen sowie ein Update für Apple TV vorgestellt. IOS 7.0.6(öffnet im neuen Fenster) (Build 11B651) und iOS 6.1.6(öffnet im neuen Fenster) (10B500) schließen eine Sicherheitslücke, die beim Überprüfen der SSL-Verbindung auftrat. Bei vorherigen Versionen ließen sich eigentlich verschlüsselte Daten, die über SSL-/TLS-Verbindungen übertragen werden sollen, abfangen und verändern. Der Grund: Bei der Übertragung wurde die Authentizität der Verbindung nicht überprüft. Mit dem Update wird die Lücke laut Angaben von Apple geschlossen. Die iOS-6-Aktualisierung steht nur für das iPhone 3GS und den iPod Touch 4G zur Verfügung, weil es für diese Geräte kein iOS 7 gibt. Für alle anderen Geräte gilt: Wer sicher sein will, dass die Lücke geschlossen wir, muss auf iOS 7 umsteigen.
Außerdem hat Apple ein Update(öffnet im neuen Fenster) für Apple TV der zweiten Generation vorgestellt, die diese Lücke ebenfalls schließt. Die aktuelle Version des Betriebssystems von Apples Set-Top-Box lautet nach dem Update 6.0.2.
Die iOS-Updates können über die Softwareaktualisierung von iOS eingespielt werden und stehen auch über iTunes zum Download zur Verfügung.
Nachtrag vom 22. Februar 2014, 20:00 Uhr
Nach einem Bericht auf der privaten Website imperialviolet.org(öffnet im neuen Fenster) von Adam Langley aus Googles Sicherheitsteam ist auch OS X selbst in der neuen Version 10.9.1 von der Sicherheitslücke betroffen. Ein Codeausschnitt zeigt den Fehler. Hier gibt es allerdings noch kein Update von Apple.
Nachtrag vom 23. Februar 2014, 8:20
Nach Angaben des Sicherheitsexperten Ashkan Soltani ist aber nicht nur Safari gefährdet, sondern auch eine ganze Reihe von anderen OS-X-Applikationen(öffnet im neuen Fenster) , die das Secure-Transport-Framework einsetzen. Dazu gehört Apples E-Mail-Programm Mail.app, der Kalender und der integrierte Twitter-Client. Bei den Programmen Nachrichten und Facetime ist das Problem allerdings durch die interne Verschlüsselung der Inhalte etwas abgemildert, auch wenn das initiale Handshake durch TLS abgesichert sei, meint Soltani. Auch Apples Updatemechanismus für OS X könnte kompromittiert sein. Gegenüber der Nachrichtenagentur Reuters(öffnet im neuen Fenster) teilte Apple mit, dass man an einem Update arbeite, das sehr bald erscheinen werde. Bis zu diesem Zeitpunkt sollten Anwender sich nicht über unsichere WLANs und LANs mit dem Internet verbinden und Safari meiden, sondern auf Chrome oder Firefox setzen, die Apples SSL/TLS-Implementierung nicht nutzen.