Resources for programmers about the infamous #gotofail #Apple #TLS security bug.
The best analysis of the bug: ►https://www.imperialviolet.org/2014/02/22/applebug.html
Another analysis, focusing on “what could have been done to avoid the bug”: ▻https://www.cs.columbia.edu/~smb/blog/2014-02/2014-02-23.html
And another one, on the same line of thought: ▻http://avandeursen.com/2014/02/22/gotofail-security
Apple a annoncé le vendredi 21 février au soir une faille de sécurité (nommée officiellement CVE-2014-1266 et officieusement « goto fail ») ▻http://support.apple.com/kb/HT6147
Cette faille est située dans une bibliothèque logicielle (un composant nommé « Secure Transport ») utilisée par de très nombreuses applications des systèmes Apple (les iPhone, iPad et Mac OS X sont donc vulnérables). Elle consiste en une absence de vérification de la signature de la machine avec laquelle on communique, lorsqu’on utilise le mécanisme de sécurité TLS (ex-SSL). La grande majorité des communications qu’on croit sécurisées (que ce soit le Web, avec « https », le courrier ou d’autres services) est donc vulnérable : un méchant peut se glisser entre la machine Apple et le vrai serveur, prétendre être le vrai serveur, et la machine Apple n’y verra que du feu.
Il est donc crucial de s’assurer que les mises à jour sont faites. Vous pouvez le vérifier en utilisant Safari (pas Firefox ou Chrome, qui utilisent une autre bibliothèque) pour aller visiter ▻https://gotofail.com
Des détails techniques pour informaticiens (avec examen du code source, d’où la faille tire son surnom) sont disponibles en ►https://www.imperialviolet.org/2014/02/22/applebug.html
reviews are less about defects than (...) and sharing code ownership
▻http://www.inf.usi.ch/phd/bacchelli/publications/icse2013.pdf
« À quoi pense le programmeur qui écrit une bogue ? » belle question de @stephane, mais attention prévient @bituur, parfois les bogues sont revêches : ▻http://seenthis.net/messages/102594
▻http://www.pcinpact.com/news/86119-apple-corrige-importante-faille-dans-ios-mais-os-x-reste-vulnerable.
Il n’existe pour l’instant pas de preuves que la faille a été effectivement exploitée, mais on ne sait pas non plus depuis combien de temps exactement elle est présente dans iOS et OS X. Puisque la version 6 du système est sortie en septembre 2012, on peut supposer qu’elle est présente depuis au moins cette période.
John Grubber, souvent en possession d’informations précises sur les projets de la firme, pointe pour sa part un curieux hasard du calendrier : les documents d’Edward Snowden sur Prism montraient que la NSA avait commencé à récupérer des données chez Apple à partir d’octobre 2012, soit un mois après la sortie d’iOS 6. La question se pose pour lui de savoir si cette faille n’est pas l’un des moyens utilisés par la NSA pour obtenir les informations qu’elle souhaite.