Apple deaktiviert SSL 3.0 für Push-Benachrichtigungsdienst

[Philipp Schwinn]

Wie Apple in einer Nachricht an registrierte Entwickler mitteilt, wird man den Push-Benachrichtigungsdienst zum 29. Oktober 2014 aktualisieren und die Unterstützung der kompromittierten Verschlüsselung SSL 3.0 über Bord werfen. Verbindungen die dadurch gesichert werden, lassen sich durch einen Fehler im 15 Jahre alten SLLv3-Protokoll entschlüsseln.[prbreak][/prbreak]

Der Dienst nimmt ab dem oben genannten Stichtag nur noch per TLS verschlüsselte Anfragen entgegen. Unterstützt ein Server lediglich SSL, müssen die Entwickler also die Verschlüsselung wechseln, wenn sie fortan Push-Benachrichtigungen versenden möchten. Erlaubt der Server bereits Verbindungen über SSL und TLS ist kein Handeln notwendig, Apple wird ab nächster Woche einfach auf den neuen Standard zurückgreifen.



via Apple Developer

 

[PitiL]

In den OS X Versionen Yosemite, Mavericks und Mountain Lion ist die Sicherheitslücke geschlossen worden.

Bist Du sicher? Einschlägige Testseiten behaupten das Gegenteil.
https://www.poodletest.com

 

[Philipp Schwinn]

Ich habe es mal rausgenommen.

 

[Devo25]

Also bei Chrome kommt "not vulnerable", bei Safari "vulnurable".