បិទការផ្សាយពាណិជ្ជកម្ម
ហ្សីតាវី

ព័ត៌មានលម្អិតអំពីការអាប់ដេត iOS 7.0.6 និង SSL

Daniel Hruska
10

ប៉ុន្មានថ្ងៃមុន Apple បានចេញផ្សាយលេខមួយរយ អាប់ដេត iOS 7.0.6អំពីការចេញផ្សាយដែលយើងបានជូនដំណឹងដល់អ្នក។ មនុស្សជាច្រើនប្រហែលជាមានការភ្ញាក់ផ្អើលដែលការអាប់ដេតក៏ត្រូវបានចេញផ្សាយសម្រាប់ iOS 6 ចាស់ (កំណែ 6.1.6) និង Apple TV (កំណែ 6.0.2) ផងដែរ។ នេះ​ជា​បំណះ​សុវត្ថិភាព ដូច្នេះ Apple មិន​អាច​មាន​លទ្ធភាព​ធ្វើ​បច្ចុប្បន្នភាព​តែ​ផ្នែក​មួយ​នៃ​ឧបករណ៍​របស់​ខ្លួន​បាន​ទេ។ អ្វីដែលលើសពីនេះ បញ្ហានេះក៏ប៉ះពាល់ដល់ OS X ផងដែរ។ យោងតាមអ្នកនាំពាក្យក្រុមហ៊ុន Apple លោក Trudy Muller ការធ្វើបច្ចុប្បន្នភាព OS X នឹងត្រូវបានចេញផ្សាយឱ្យបានឆាប់តាមដែលអាចធ្វើទៅបាន។

ហេតុអ្វីបានជាមានការឃោសនាបំផ្លើសច្រើនជុំវិញការអាប់ដេតនេះ? កំហុសនៅក្នុងកូដរបស់ប្រព័ន្ធអនុញ្ញាតឱ្យការផ្ទៀងផ្ទាត់ម៉ាស៊ីនមេត្រូវបានឆ្លងកាត់លើការបញ្ជូនសុវត្ថិភាពនៅស្រទាប់ទំនាក់ទំនងនៃគំរូយោង ISO/OSI ។ ជាពិសេស កំហុសគឺជាការអនុវត្ត SSL មិនល្អនៅក្នុងផ្នែកដែលការផ្ទៀងផ្ទាត់វិញ្ញាបនបត្រម៉ាស៊ីនមេកើតឡើង។ មុនពេលខ្ញុំចូលទៅក្នុងការពន្យល់បន្ថែម ខ្ញុំចង់ពណ៌នាអំពីគោលគំនិតជាមូលដ្ឋាន។

SSL (Secure Socket Layer) គឺជាពិធីការដែលប្រើសម្រាប់ការទំនាក់ទំនងប្រកបដោយសុវត្ថិភាព។ វាសម្រេចបាននូវសុវត្ថិភាពដោយមធ្យោបាយនៃការអ៊ិនគ្រីប និងការផ្ទៀងផ្ទាត់ភាគីទំនាក់ទំនង។ ការផ្ទៀងផ្ទាត់គឺជាការផ្ទៀងផ្ទាត់អត្តសញ្ញាណដែលបានបង្ហាញ។ ជាឧទាហរណ៍ ក្នុងជីវិតពិត អ្នកនិយាយឈ្មោះរបស់អ្នក (អត្តសញ្ញាណ) ហើយបង្ហាញអត្តសញ្ញាណប័ណ្ណរបស់អ្នក ដើម្បីឱ្យអ្នកផ្សេងអាចផ្ទៀងផ្ទាត់វា (ផ្ទៀងផ្ទាត់)។ បន្ទាប់មកការផ្ទៀងផ្ទាត់អត្តសញ្ញាណត្រូវបានបែងចែកទៅជាការផ្ទៀងផ្ទាត់ ដែលគ្រាន់តែជាឧទាហរណ៍ជាមួយអត្តសញ្ញាណប័ណ្ណជាតិ ឬអត្តសញ្ញាណ នៅពេលដែលបុគ្គលដែលមានសំណួរអាចកំណត់អត្តសញ្ញាណរបស់អ្នកដោយមិនចាំបាច់បង្ហាញវាឱ្យគាត់ជាមុន។

ឥឡូវនេះខ្ញុំនឹងទៅដល់វិញ្ញាបនបត្រម៉ាស៊ីនមេដោយសង្ខេប។ នៅក្នុងជីវិតពិត វិញ្ញាបនបត្ររបស់អ្នកអាចជាឧទាហរណ៍ អត្តសញ្ញាណប័ណ្ណ។ អ្វីគ្រប់យ៉ាងគឺផ្អែកលើការគ្រីបមិនស៊ីមេទ្រី ដែលប្រធានបទនីមួយៗមានសោពីរ - ឯកជន និងសាធារណៈ។ ភាពស្រស់ស្អាតទាំងមូលស្ថិតនៅលើការពិតដែលថាសារអាចត្រូវបានអ៊ិនគ្រីបដោយប្រើសោសាធារណៈនិងឌិគ្រីបដោយប្រើសោឯកជន។ នេះមានន័យថាមានតែម្ចាស់សោឯកជនប៉ុណ្ណោះដែលអាចឌិគ្រីបសារបាន។ ទន្ទឹមនឹងនេះដែរ មិនចាំបាច់ព្រួយបារម្ភអំពីការផ្ទេរសោសម្ងាត់ទៅកាន់ភាគីទំនាក់ទំនងទាំងពីរនោះទេ។ បន្ទាប់មក វិញ្ញាបនបត្រគឺជាសោសាធារណៈរបស់ប្រធានបទដែលត្រូវបានបំពេញបន្ថែមជាមួយនឹងព័ត៌មានរបស់វា និងចុះហត្ថលេខាដោយអាជ្ញាធរបញ្ជាក់។ នៅសាធារណរដ្ឋឆេក អាជ្ញាធរវិញ្ញាបនប័ត្រមួយគឺឧទាហរណ៍ Česká Pošta។ សូមអរគុណចំពោះវិញ្ញាបនបត្រ iPhone អាចផ្ទៀងផ្ទាត់ថាវាពិតជាកំពុងទំនាក់ទំនងជាមួយម៉ាស៊ីនមេដែលបានផ្តល់ឱ្យ។

SSL ប្រើការអ៊ិនគ្រីប asymmetric នៅពេលបង្កើតការតភ្ជាប់ ដែលហៅថា ការចាប់ដៃ SSL. នៅដំណាក់កាលនេះ ទូរស័ព្ទ iPhone របស់អ្នកផ្ទៀងផ្ទាត់ថាវាកំពុងទំនាក់ទំនងជាមួយម៉ាស៊ីនមេដែលបានផ្តល់ឱ្យ ហើយក្នុងពេលជាមួយគ្នានេះ ដោយមានជំនួយពីការអ៊ិនគ្រីប asymmetric សោស៊ីមេទ្រីត្រូវបានបង្កើតឡើងដែលនឹងត្រូវបានប្រើសម្រាប់ការទំនាក់ទំនងជាបន្តបន្ទាប់ទាំងអស់។ ការអ៊ិនគ្រីបស៊ីមេទ្រីគឺលឿនជាងមុន។ ដូចដែលបានសរសេររួចមកហើយ កំហុសបានកើតឡើងរួចហើយក្នុងអំឡុងពេលផ្ទៀងផ្ទាត់ម៉ាស៊ីនមេ។ សូមក្រឡេកមើលកូដដែលបណ្តាលឱ្យមានភាពងាយរងគ្រោះនៃប្រព័ន្ធនេះ។

static OSStatus
SSLVerifySignedServerKeyExchange(SSLContext *ctx, bool isRsa,
SSLBuffer signedParams, uint8_t *signature, UInt16 signatureLen)

{
   OSStatus err;
   …

   if ((err = SSLHashSHA1.update(&hashCtx, &serverRandom)) != 0)
       goto fail;
   if ((err = SSLHashSHA1.update(&hashCtx, &signedParams)) != 0)
       goto fail;
       goto fail;
   if ((err = SSLHashSHA1.final(&hashCtx, &hashOut)) != 0)
       goto fail;
   …

fail:
   SSLFreeBuffer(&signedHashes);
   SSLFreeBuffer(&hashCtx);
   return err;
}

នៅក្នុងលក្ខខណ្ឌទីពីរ if អ្នកអាចឃើញពាក្យបញ្ជាពីរខាងក្រោម goto បរាជ័យ;. ហើយ​នោះ​ជា​ការ​ជំពប់​ដួល។ បន្ទាប់មកលេខកូដនេះបណ្តាលឱ្យពាក្យបញ្ជាទីពីរត្រូវបានប្រតិបត្តិនៅដំណាក់កាលដែលវិញ្ញាបនបត្រគួរតែត្រូវបានផ្ទៀងផ្ទាត់ goto បរាជ័យ;. នេះបណ្តាលឱ្យលក្ខខណ្ឌទីបីត្រូវបានរំលង if ហើយនឹងមិនមានការផ្ទៀងផ្ទាត់ម៉ាស៊ីនមេទាល់តែសោះ។

ផលប៉ះពាល់គឺថាអ្នកណាម្នាក់ដែលមានចំណេះដឹងអំពីភាពងាយរងគ្រោះនេះអាចផ្តល់ឱ្យ iPhone របស់អ្នកនូវវិញ្ញាបនបត្រក្លែងក្លាយ។ អ្នកឬ ទូរស័ព្ទ iPhone របស់អ្នក អ្នកនឹងគិតថាអ្នកកំពុងទំនាក់ទំនងដែលបានអ៊ិនគ្រីប ខណៈពេលដែលមានអ្នកវាយប្រហាររវាងអ្នក និងម៉ាស៊ីនមេ។ ការវាយប្រហារបែបនេះត្រូវបានគេហៅថា វាយប្រហារបុរស - កណ្តាលដែលបកប្រែជាភាសាឆេកថាជា ការវាយប្រហារដោយបុរសនៅកណ្តាល ឬ បុរសក្នុងចំណោម. ការវាយប្រហារដោយប្រើគុណវិបត្តិពិសេសនេះនៅក្នុង OS X និង iOS អាចត្រូវបានអនុវត្តបានលុះត្រាតែអ្នកវាយប្រហារ និងជនរងគ្រោះស្ថិតនៅលើបណ្តាញតែមួយ។ ដូច្នេះ វាជាការប្រសើរជាងក្នុងការជៀសវាងបណ្តាញ Wi-Fi សាធារណៈ ប្រសិនបើអ្នកមិនបានធ្វើបច្ចុប្បន្នភាព iOS របស់អ្នក។ អ្នក​ប្រើ Mac នៅតែ​ត្រូវ​ប្រយ័ត្នប្រយែង​អំពី​បណ្តាញ​ណា​ដែល​ពួកគេ​ភ្ជាប់​ទៅ និង​គេហទំព័រ​ណា​ដែល​ពួកគេ​ចូលមើល​នៅលើ​បណ្តាញ​ទាំងនោះ។

វាហួសពីការជឿថា កំហុសដ៏ធ្ងន់ធ្ងរបែបនេះអាចធ្វើឲ្យវាចូលទៅក្នុងកំណែចុងក្រោយនៃ OS X និង iOS បាន។ វាអាចជាការធ្វើតេស្តមិនត្រឹមត្រូវនៃកូដសរសេរមិនល្អ។ នេះមានន័យថា ទាំងអ្នកសរសេរកម្មវិធី និងអ្នកសាកល្បងនឹងធ្វើខុស។ នេះប្រហែលជាមិនទំនងសម្រាប់ Apple ទេ ហើយដូច្នេះមានការរំពឹងទុកថា កំហុសនេះគឺពិតជា backdoor ដែលគេហៅថា។ ទ្វារ​ក្រោយ. វាមិនមែនសម្រាប់គ្មានអ្វីទេដែលពួកគេនិយាយថា backdoors ដ៏ល្អបំផុតមើលទៅដូចជាកំហុសតិចតួច។ ទោះយ៉ាងណាក៏ដោយ ទាំងនេះគ្រាន់តែជាទ្រឹស្ដីដែលមិនបានបញ្ជាក់ ដូច្នេះយើងនឹងសន្មត់ថានរណាម្នាក់បានធ្វើខុស។

ប្រសិនបើអ្នកមិនប្រាកដថាប្រព័ន្ធ ឬកម្មវិធីរុករករបស់អ្នកមានភាពស៊ាំនឹងកំហុសនេះទេ សូមចូលទៅកាន់ទំព័រ gotofail.com. ដូចដែលអ្នកអាចឃើញនៅក្នុងរូបភាពខាងក្រោម Safari 7.0.1 នៅក្នុង OS X Mavericks 10.9.1 មានកំហុសខណៈពេលដែលនៅក្នុង Safari នៅក្នុង iOS 7.0.6 អ្វីគ្រប់យ៉ាងគឺល្អ។

ធនធាន៖ iMore, រ៉យទ័រ
ប្រភព
ការពិភាក្សា
ប្រធានបទ៖ , , , , , , , , ,

ពាក់ព័ន្ធ



ភាគច្រើនអាន អត្ថបទ

.