Apple ha recentemente rilasciato iOS 7.0.6 con un importante aggiornamento di sicurezza per gli utenti di iPhone, iPad, iPod touch – se si dispone di un dispositivo iOS, è necessario installare subito tale aggiornamento. Anche se la descrizione della correzione dei bug 7.0.6 era inizialmente vaga, ulteriori informazioni di cui riportiamo di seguito indicano solo quanto potenzialmente grave sia il problema di sicurezza (o lo era) – in pratica, qualcuno potrebbe intercettare i dati in base alle circostanze appropriate – e mentre il problema è stato patchato sul lato iOS, per il momento esiste lo stesso difetto di sicurezza per OS X (il bug è stato corretto con OS X 10.9.2).
Sì, Apple probabilmente introdurrà una correzione per gli utenti Mac nel prossimo futuro e tutti gli utenti Mac dovrebbero installare subito tale aggiornamento quando arriverà. Fino ad allora, puoi prendere alcune semplici precauzioni per proteggere te stesso e il tuo Mac dai danni. Sebbene si tratti di un consiglio generale incentrato sull’aiutare a prevenire i problemi derivanti dal bug di sicurezza SSL / TLS attivo di OS X, questi semplici suggerimenti sono in realtà un buon protocollo di sicurezza di rete di base da seguire in generale. Gli utenti esperti probabilmente sapranno già cosa fare (o meglio, cosa non fare), ma se non conosci la buona pratica di rete, allora potresti imparare qualcosa di nuovo.
Aggiornamento: gli utenti Mac possono ora scaricare l’aggiornamento OS X 10.9.2 per risolvere completamente questo problema di sicurezza. I consigli che seguono sono comunque validi per la sicurezza generale di rete e Wi-Fi, tuttavia.
3 semplici suggerimenti per proteggere un Mac dal difetto di sicurezza SSL / TLS
- Evita tutte le reti non attendibili – quel misterioso router Wi-Fi aperto a cui ti connetti a volte quando Internet è lento perché tuo fratello / mamma / coinquilino sta trasmettendo Netflix? Non connettersi ad esso. Il router che non richiede una password al bar locale? Evitalo. , se sono al lavoro, a scuola o a casa. Non può essere detto abbastanza; non unire reti wireless non attendibili fino a quando la macchina non è stata riparata.
- Controlla il tuo browser web con GoToFail per determinare se il browser stesso è vulnerabile – se si ritiene che sia vulnerabile, considera l’utilizzo temporaneo di un altro browser Web aggiornato fino a quando il difetto non è stato corretto (le ultime versioni di Chrome e Firefox per ora sono considerate valide)
- Accertati che la rete Wi-Fi di fiducia utilizzi la sicurezza WPA2 attiva, ovvero che richieda una password per la connessione al router, sebbene tu voglia ancora ricontrollare che la rete utilizzi WPA2. Mentre questo da solo non è una garanzia di protezione o sicurezza, riduce la probabilità che un personaggio malvagio si trovi sulla rete. Le reti aperte e completamente prive di password sono come il selvaggio west e qualsiasi cosa vada, evitali. Per quelli con i loro router wi-fi, ricorda che WEP è obsoleto e non sicuro, usa sempre la sicurezza WPA2 per le password wi-fi.
Quando si utilizza un browser diverso e una rete protetta è meglio di niente, l’importanza di essere su una rete protetta (e di applicare patch ai dispositivi quando possibile) non può essere enfatizzata abbastanza. Per capire meglio perché, un attacco teorico che utilizza la vulnerabilità SSL / TLS è descritto da CrowdStrike come segue:
“Per attuare l’attacco, un avversario deve essere in grado di effettuare connessioni di rete Man-in-The-Middle (MitM), che possono essere eseguite se sono presenti sulla stessa rete cablata o wireless della vittima. A causa di un difetto nella logica di autenticazione su piattaforme iOS e OS X, un utente malintenzionato può ignorare le routine di verifica SSL / TLS durante l’handshake iniziale della connessione. Ciò consente ad un avversario di mascherarsi provenendo da un endpoint remoto affidabile, come il proprio fornitore di webmail preferito ed eseguire un’intercettazione completa del traffico crittografato tra te e il server di destinazione, oltre a dare loro la possibilità di modificare i dati in volo (come fornire exploit per assumere il controllo del tuo sistema). “
In parole povere, un utente malintenzionato potrebbe utilizzare questo difetto per intercettare i dati, come e-mail, password, informazioni bancarie, comunicazioni, praticamente qualsiasi cosa, se l’attaccante si trova sulla stessa rete o è in grado di ottenere tra il computer e un Server remoto. Questo è il motivo per cui è così importante evitare le reti non fidate, riduce notevolmente i rischi.
Chi è interessato può leggere ulteriori informazioni tecniche sul bug di ImperialViolet e altri dettagli semplificati su Wired.
Quindi, riassumiamo: i dispositivi iOS devono essere aggiornati su iOS 7.0.6 o iOS 6.1.6 ORA, utilizzando una rete affidabile. Gli utenti iOS dovrebbero dimenticare attivamente le reti wi-fi di cui non si fidano. Nessun utente di alcun dispositivo deve unirsi alle reti non attendibili fino a quando non installano la patch appropriata e probabilmente è meglio evitare le reti non attendibili in generale. Tutti gli utenti Mac devono installare immediatamente l’aggiornamento di sicurezza appropriato per OS X quando è stato rilasciato (sì, ne pubblicheremo quando uscirà). Non è una garanzia, ma seguendo questo consiglio, sicuramente stai meglio di no.
