Adobe säkerhetsuppdaterar Flash igen

Det bästa man kan göra med Adobe Flash är att avinstallera det helt från datorn.

Tyvärr har Mac-användare långt värre säkerhetsbrister att oroa sig för. Det nyligen upptäckta hålet i iOS och OS X SSL-lager är så dåligt att det lär vara svårt att överträffa inom överskådlig tid. I princip har Apple satt den viktigaste säkerhetsmekanismen av alla ur spel

Det är inte alls så enkelt. Alla program som använder sig av den osäkra koden lider av samma problem. Det innebär t.ex. att en "man-in-the-middle" utan begränsningar t.ex. skulle kunna intercepta t.ex. programvaruuppdateringar, och i stället för den sjyssta programvara som du tror du installerat säkert, har du fått programvaror som har obegränsad access till din burk.

Även om scenariot ovan kräver lite mer så skulle även en programmerare med ytterst begränsade kunskaper kunna skriva ett litet program som suger upp vartenda användarnamn, lösenord, sajt, password hint, kreditkortsnummer osv. som du skriver in.

I princip innebär det att du måste utgå från att all trafik är vidöppen, tills motsatsen är bevisad.

Och visst, du kan byta browser, men hur gör du med dina mail-program, alla auto-uppdateringar, bakgrundsprocesser, etc. etc. som lider av samma bugg?

Visst, i realiteten så blir det säkert som vanligt med säkerhetshål, att en väldigt liten andel drabbas, men det är omfattningen på den här bristen som är exceptionell. Jämfört med Flash-bristen som denna tråd ursprungligen handlade om så är den som ett sandkorn på en fotbollsplan i jämförelse

För övrigt: det är inte så att det KAN innebära osäkra banktransaktioner, tyvärr INNEBÄR DET MED SÄKERHET osäkra banktransaktioner.

Det betyder inte att någon FAKTISKT kommer att avlyssna trafiken, men i och med att de kan så finns ingen sådan säkerhet.

Jaja, det är väl därför varje tech site i världen har Apples SSL-bug som på förstasidan, eller därför som Apple paniksläpper uppdateringar till alla sina drabbade OS.

Det är alltså för att jag överdriver. Fan vad häftigt, att min åsikt spelar så stor roll!

Du är naturligtvis helt ute och cyklar. Det är en stor bugg, och nej det är inte alls så svårt att utnyttja den buggen som du tror.

Likaså har du fel i statistiken. Det finns fler sårbarheten rapporterade i OS X än i Flash.

Ge dit ut ur ditt reality distorsion field

Antalet nyhetsartiklar har ju dock inte så mycket med hur allvarligt det är. Det är Apple, klart det är på förstasidan.

Suck. Jag har inte sagt att det är svårt. Det jag sa att det krävs lite mer än denna bugg för att köra en MITM. T.ex. måste man vara på samma nätverkssegment. Så att någon skulle drabbas av en MITM p.g.a detta är inte så stor risk.
Dessutom så gällde buggen verifiering av certet och inte övriga saker som t.ex. om certet är gammalt. Då hade du fått ett felmeddelande som vanligt (som om nu någon hade brytt sig om dessa och inte klickat vidare i alla fall)

Jag pratade inte om rapporterade sårbarheter. Jag pratade om faktiskt skadlig kod och dess infektioner.

Läs innan du kommenterar...

Haha, nej... varje anställd hos en ISP har inte tillgång till den utrustningen.
Du får nog sluta lita rakt av på kommentarer hos 9to5mac

Sorry, you are wrong: a man-in-the-middle attack is very possible. Your internet traffic travels from your cable modem through the public internet to your bank (or whatever). All along that path there is opportunity for a man-in-the-middle attack. Go into “terminal” and try a “traceroute” on your favorite bank hostname, and you’ll see a mere subset of the networks that your packets traverse. You trust all those providers? Maybe so, but is every one of their employees trustworthy? Are all their security procedures perfect? Absolutely not.

Du får säga MacDefender hur mycket du vill.
Java stod ensamt för 91% av alla IOCs förra året.

Fast det är ju ingen som påstått att "varje anställd" har tillgång till "den utrustningen" men poängen är att det räcker att EN ENDA länk i kedjan är svag för att den ska brista. Orsaken till att SSL överhuvudtaget finns är just för att det tillhandahåller kryptering hela vägen.

Hela världen anser att det är en jävligt allvarligt säkerhetsbrist. Du säger att det inte är det och att SLL inte behövs.

Okej. Tro vad du vill.

Jag behöver inte tänka utan jag läser det du skriver. Du skrev ordagrant "Gör en tracetorute så får du se om du vill lita på varje del i den kedjan, t.ex. varje anställd hos (t.ex.) random ISP."

Nej, jag behöver absolut inte lita på varenda person som jobbar på ett företag i kedjan. Det är det du inte förstår.

Eftersom du inte ens svarade på det sista så kan vi nog avsluta detta här.