Apple 程式碼中的一個錯誤導致 SSL/TLS 連線的真實性無法驗證，從而為「中間人」攻擊打開了大門。週末發布了 iOS 補丁。另一款適用於 Mac OS X 的版本將於本週上市。
本週末，蘋果緊急發布了針對運行 iOS 7 的終端的安全補丁，以修復 SSL/TLS 加密連接管理中的一個嚴重缺陷。嗯……缺陷是輕描淡寫的。我們更應該談論一個大洞！
根據Google工程師 Adam Langley 的分析，該漏洞隱藏在蘋果的一個庫中，該庫負責在建立 SSL/TLS 連線時驗證憑證的電子簽章。一行程式碼意外重複（即：「goto failed;」），這會產生系統驗證任何簽名的不幸後果。因此，證書的真實性永遠不會被驗證，這為身份盜竊攻擊留下了大門。
當使用者在安全頁面（電子郵件、銀行服務等）上衝浪時，第三方可以將自己插入終端和網路存取點之間，並毫不費力地冒充相關網站（所謂的「人」）。 ”攻擊）。這樣，它就可以捕獲數據，或者在將數據發送回真實站點之前對其進行修改。
建議盡快安裝補丁。不過，也無需驚慌。要利用此缺陷，您必須能夠存取將終端連接到網際網路的網路。如果它是您自己的家庭 WiFi 網路並且受到適當保護 (AES)，則風險仍然很低。另一方面，您應該避開公共熱點地區，例如咖啡館、公園或機場。警告：運行 Mac OS X 的電腦也存在此缺陷。
偏執的猜想
駭客和安全研究人員社群想知道這個錯誤的起源。對某些人來說，這只是一個簡單的錯誤，一個編碼錯誤。然而，其他人發現繩子太粗了。這條重複的線位置太好了，不可能不是故意破壞的行為。有些人認為這是國家安全局的工作，正如我們在愛德華·斯諾登的文件中看到的那樣，國家安全局有能力滲透電腦網路。
專門研究蘋果系統的程式設計師約翰·格魯伯 (John Gruber) 則認為，美國國家安全局肯定意識到了這個缺陷，並且利用了它。另一方面，他並不認為蘋果在這件事上是共犯。這個問題仍然懸而未決。
另請閱讀：
Apple ID：雙重身分驗證選項抵達法國，於 21/02/2014
蘋果否認與 NSA 合作創建 iPhone 後門，於 02/01/2014
資料來源：
