7.6 TrillianTrillian, a popular ins

7.6 Trillian
Trillian, a popular instant messenger client, relies on OpenSSL
for SSL connection establishment. By default, OpenSSL does not
throw a run-time exception if the certificate is self-signed or has an
invalid chain of trust. Instead, it sets flags. Furthermore, OpenSSL
does not provide any hostname verification.
If the application has called SSL_CTX_set to set the SSL_VERIFY
_PEER flag (see Section 4.1), then SSL_connect exits and prints an
error message when certificate validation fails. Trillian does not set
the SSL_VERIFY_PEER flag. When this flag is not set, SSL_connect
returns 1. The application is then expected to check the status of
certificate validation by calling SSL_get_verify_result. Trillian
does not call this function.
Trillian thus accepts any SSL certificate and is insecure against a
man-in-the-middle attack. Depending on the specific module chosen by the Trillian user, this reveals usernames, passwords, security tokens, etc. for Google Talk (typically compromising all of the
user’s Google services), AIM, ICQ, Windows Live (including SkyDrive), and Yahoo! Messenger (and thus all Yahoo! services).
Interestingly, it was reported back in 2009 that older versions of
Trillian do not correctly validate MSN certificates [20]. This bug
was ostensibly fixed in Trillian 4.2. Our analysis shows, however,
that SSL certificate validation is still completely broken for all services, not just for MSN (Windows Live), in Trillian 5.1.0.19.



7.7 Rackspace
The Rackspace app for iOS (version 2.1.5) is an open-source
application for administering Rackspace cloud services. It uses the
OpenStack iOS cloud client framework, which in turn relies on the
ASIHTTPRequest library to set up HTTPS connections.
ASIHTTPRequest provides a configuration variable Validates
SecureCertificate, set to 1 by default. If reset to 0, it turns
off both chain-of-trust and hostname verification. OpenStack supports multiple accounts on remote servers and lets users customize
SSL certificate validation on per-account basis using the ignoreSSL
Validation variable. The value of this variable depends on the GUI
switch validateSSLSwitch, which should be shown to the user.
The Rackspace app (version 2.1.5) does not present the user with
this option.9 The GUI switch validateSSLSwitch is thus never displayed or explicitly assigned. Instead, it is simply initialized to 0 by
the Objective-C allocator. This turns on ignoreSSLValidation in
ASIHTTPRequest, which in turn sets ValidatesSecureCertificate
to 0 and disables certificate validation.
As a consequence, SSL connections established by the Rackspace
app on iOS are insecure against a man-in-the-middle attack.


7.8 TextSecure

TextSecure is an Android application for encrypting SMS and
MMS messages. It was written by Moxie Marlinspike who had
9We are informed by Mike Mayo that this was an accidental oversight and will be fixed in subsequent releases of the app.

ผลลัพธ์ (ไทย) 1:

7.6 trillianเป็น ไคลเอนต์ทันทีนิยม อาศัย OpenSSLการจัดตั้งการเชื่อมต่อ SSL โดยค่าเริ่มต้น OpenSSL ไม่ได้โยนมีข้อยกเว้นขณะใช้งาน certificate ได้รับการรับรองด้วยตนเอง หรือมีการห่วงโซ่ที่ไม่ถูกต้องของความน่าเชื่อถือ แทน มันตั้งค่าแพลิด นอกจากนี้ OpenSSLไม่มี verification ใด ๆ ชื่อโฮสต์ถ้าแอพลิเคชันเรียกว่า SSL_CTX_set SSL_VERIFY ที่ตั้ง_PEER flag (ดู 4.1 ส่วน), SSL_connect ออก แล้วพิมพ์ผิดข้อความข้อผิดพลาดเมื่อล้มเหลวตรวจสอบ certificate ไม่มีตั้งเป็นSSL_VERIFY_PEER flag เมื่อ flag นี้ไม่ได้ตั้งค่า SSL_connectส่งกลับค่า 1 แอพลิเคชันแล้วคาดว่าจะตรวจสอบสถานะของcertificate การตรวจสอบ โดยการเรียก SSL_get_verify_result Trillianเรียกฟังก์ชันนี้เป็นรับ SSL certificate ใด ๆ และจะไม่ปลอดภัยกับการคนในกลางโจมตี ขึ้นอยู่กับโมดู specific ที่เลือก โดยผู้ใช้ Trillian นี้พบชื่อผู้ใช้ รหัสผ่าน โทเค็นการรักษาความปลอดภัย ฯลฯ สำหรับ Google Talk (โดยทั่วไปจะสูญเสียทั้งหมดของการผู้ใช้ Google บริการ), AIM, ICQ, Windows Live (รวม SkyDrive), และ yahoo! Messenger (และดังนั้น yahoo!บริการ)เป็นเรื่องน่าสนใจ มีรายงานกลับมาในปี 2552 รุ่นที่เก่าเป็นไม่ถูกต้องตรวจสอบ MSN certificates [20] ข้อผิดพลาดนี้รัฐบาลถูก fixed ใน Trillian 4.2 แสดงการวิเคราะห์ของเรา อย่างไรก็ตามสอบ certificate SSL ที่หักทั้งหมด สำหรับบริการทั้งหมด ไม่เพียงแต่ สำหรับ MSN (Windows อาศัยอยู่), ใน Trillian 5.1.0.19 ยังได้7.7 RackspaceApp Rackspace สำหรับ iOS (รุ่น 2.1.5) เป็นการเปิดแหล่งข้อมูลโปรแกรมประยุกต์สำหรับจัดการบริการคลาวด์ Rackspace ใช้ในการไคลเอนต์กรอบ ซึ่งจะอาศัยเมฆ OpenStack iOSไลบรารี ASIHTTPRequest การตั้งค่าการเชื่อมต่อ HTTPSASIHTTPRequest ให้ configuration Validates ตัวแปรSecureCertificate ตั้งค่าเป็น 1 โดยค่าเริ่มต้น ถ้าตั้งค่าเป็น 0 ก็เปลี่ยนปิด verification โซ่แทนและชื่อโฮสต์ OpenStack สนับสนุนหลายบัญชีบนเซิร์ฟเวอร์ระยะไกล และช่วยให้ผู้ใช้กำหนดเองสอบ certificate SSL บนพื้นฐานสำหรับแต่ละบัญชีที่ใช้ ignoreSSL การตรวจสอบตัวแปร ค่าของตัวแปรนี้ขึ้นอยู่กับ GUIสลับ validateSSLSwitch ซึ่งควรจะแสดงให้ผู้ใช้App Rackspace (รุ่น 2.1.5) เสนอผู้มีนี้ option.9 GUI สวิตช์ validateSSLSwitch จึง ไม่แสดง หรือกำหนดให้ชัดเจน แทน มันเป็นเพียงแค่เริ่มต้นเป็น 0 โดยการตัวจัดสรรวัตถุประสงค์-C นี้เปิด ignoreSSLValidation ในASIHTTPRequest ซึ่งในชุด ValidatesSecureCertificateจะสอบ certificate 0 และปิดการใช้งานเป็นสัจจะ ก่อตั้งขึ้น โดย Rackspace การเชื่อมต่อ SSLapp บน iOS จะไม่ปลอดภัยจากการโจมตีคนในกลาง7.8 TextSecureTextSecure เป็นโปรแกรม Android สำหรับการเข้ารหัส SMS และข้อความ MMS มันถูกเขียน โดย Moxie Marlinspike ที่มี9We จะทราบ โดย Mike Mayo ว่า นี้การกำกับดูแลโดยไม่ตั้งใจ และจะ fixed ในรุ่นต่อมาของ app

ผลลัพธ์ (ไทย) 3:

7.6 Trillian Trillian ลูกค้า
, Instant Messenger ที่นิยมใช้ OpenSSL
สำหรับการจัดตั้งการเชื่อมต่อ SSL โดยค่าเริ่มต้น , OpenSSL ไม่ได้
โยนครั้งยกเว้นถ้า certi จึงเคทกำลังตนเองเซ็น หรือมี
โซ่ที่ไม่ถูกต้องของความไว้วางใจ แทน , ชุดfl AGS . นอกจากนี้ , OpenSSL
ไม่ได้ให้โฮสต์ที่มีการถ่ายทอด .
ถ้าสมัครได้ เรียกว่า ssl_ctx_set ตั้ง ssl_verify
_peer fl AG ( ดูหมวด 4.1 ) แล้วออก ssl_connect และพิมพ์
ข้อความแสดงข้อผิดพลาดเมื่อ certi เคทจึงตรวจสอบล้มเหลว Trillian ไม่ได้ตั้งค่า
ssl_verify_peer flเอจี . เมื่อfl AG เป็นชุด ssl_connect
ผลตอบแทน 1 สมัครแล้วคาดว่าจะตรวจสอบสถานะของ
certi จึงตรวจสอบโดยการโทร ssl_get_verify_result เคท . Trillian ไม่ได้เรียกฟังก์ชันนี้
.
Trillian จึงยอมรับใด ๆ certi SSL จึงเคท และไม่ปลอดภัยกับ
ผู้ชายในการโจมตีกลาง ขึ้นอยู่กับประเภทจึง C โมดูลเลือกโดยผู้ใช้ Trillian , นี้แสดงชื่อผู้ใช้ , รหัสผ่าน , สัญญาณรักษาความปลอดภัย ฯลฯ สำหรับ Google Talk ( โดยทั่วไปจะสูญเสียทั้งหมดของบริการ Google
ผู้ใช้ ) , ICQ , AIM , Windows Live ( รวมทั้ง SkyDrive ) , และ Yahoo ! พนักงานส่งเอกสาร ( และดังนั้นจึงทั้งหมด Yahoo !
บริการ )ทั้งนี้ มีรายงานกลับใน 2009 ที่รุ่นเก่าของ
Trillian ไม่ได้อย่างถูกต้องตรวจสอบ MSN certi จึงเคส [ 20 ] นี้เป็นข้อผิดพลาด
อย่างชัดเจนจึง xed ใน Trillian 4.2 . การวิเคราะห์ของเราแสดง อย่างไรก็ตาม การตรวจสอบ SSL
ที่ certi จึงเคทยังเสียทั้งหมดสำหรับบริการทั้งหมดไม่เพียง แต่สำหรับ MSN ( Windows Live ) ในรูปแบบ 5.1.0.19 .




7.7 อยู่ในอยู่ใน App สำหรับ iOS ( รุ่น 2.1 .5 ) เป็นแหล่งให้บริการเมฆ
ใบสมัครอยู่ใน . มันใช้
openstack iOS เมฆลูกค้ากรอบ ซึ่งจะอาศัย
asihttprequest ห้องสมุดเพื่อตั้งค่า HTTPS การเชื่อมต่อ .
asihttprequest ให้นักโทษจึง guration ตัวแปรตรวจสอบ
securecertificate , การตั้งค่าเป็น 1 โดยค่าเริ่มต้น ถ้าตั้งค่าเป็น 0 จะเปลี่ยนทั้งโซ่
ปิดของความน่าเชื่อถือและชื่อโฮสต์ข้อมูลจึงไอออนบวกopenstack สนับสนุนหลายบัญชีบนเซิร์ฟเวอร์ระยะไกลและช่วยให้ผู้ใช้ปรับแต่ง
SSL certi จึงตรวจสอบบนพื้นฐานต่อบัญชี เคทใช้ ignoressl
ตรวจสอบตัวแปร ค่าของตัวแปรนี้ขึ้นอยู่กับ GUI
สลับ validatesslswitch , ซึ่งควรจะแสดงให้กับผู้ใช้ .
app อยู่ใน ( รุ่น 2.1.5 ) ไม่ได้นำเสนอผู้ใช้กับ
ตัวเลือกนี้9 GUI สลับ validatesslswitch จึงไม่เคยปรากฏอย่างชัดเจน หรือที่ได้รับมอบหมาย แต่มันเป็นเพียงการเริ่มต้นเป็น 0 โดย
Lua การจัดสรร . นี้เปิด ignoresslvalidation ใน
asihttprequest ซึ่งในชุดเปิดและปิด validatessecurecertificate
0
เคท certi จึงเป็นผลการตรวจสอบการเชื่อมต่อ SSL โดยอยู่ใน
ตั้งขึ้นApp บน iOS จะไม่ปลอดภัยกับผู้ชายในการโจมตีกลาง




textsecure 7.8 textsecure เป็น Android โปรแกรมสำหรับเข้ารหัส SMS และ MMS
ข้อความ มันถูกเขียนโดย Moxie marlinspike ที่มี
9we จะทราบโดยไมค์ มาโย ว่านี่คือความผิดพลาดโดยไม่ตั้งใจ และจะถ่ายทอด xed ตามข่าวของ app