博客与新闻

亚信互联认为创建成功的安全网络形象应该容易且负担得起。在这里,您将找到我们的最新 SSL 新闻,行业文章和新闻稿。

重新定义:如何信任 iOS 10.3 中的手动安装的根证书

Apple 调整了配置文件的信任设置,这是如何信任 iOS 10.3 中手动安装的根证书的方法。

Apple 已对信任通过配置文件手动安装的根证书的方式进行了更改,这需要其他显式操作。

安装自定义配置文件的 iOS 10.3(及更高版本)上的用户将需要进入设置菜单,才能手动打开对所有包含的根证书的信任。因为安装配置文件非常容易,所以这是一项重要的安全措施,它使用户无意中信任新的根目录变得有些困难,后者随后可能为任何网站或服务颁发设备信任的证书。

仍然会自动信任与 Apple Configurator 或移动设备管理(用于企业部署的专用工具)一起安装的根。

信任 iOS 中手动安装的根证书

配置文件的安全风险

配置文件是配置文件,可轻松将自定义设置部署到 iPhone 或 iPad。这些配置文件可以包含访问网络或配置电子邮件帐户所需的信息。

公司和大学使用配置文件轻松部署将新设备接入其网络所需的设置。面向消费者的服务(例如 Xfinity Wi-Fi 和 Manhattan 的 LinkNYC)使用配置文件允许用户访问其公共 Wi-Fi。

信任 iOS 中手动安装的根证书但是许多用户可能没有意识到配置文件有多强大。许多配置文件(例如 Comcast 的 Xfinity Wi-Fi 使用的配置文件)都包含可用于建立安全连接的根证书。

信任恶意根是那些核级“游戏结束”方案之一。实际上,Chromium(Google 的 Chrome 浏览器所基于的开源项目)承认,如果攻击者可以在您的设备上安装根目录,那么浏览器将无能为力。

在 Windows 和 OS X 上,这是合理的。例如,在 Windows 上信任根需要花费很多步骤,包括下载根,在计算机上打开文件,然后执行导入向导。

在 iOS 上,情况则不同。在 Safari 中,只需单击网页上的按钮即可提示系统对话框,以安装自定义“配置文件”,其中可以包含供设备信任的根证书。尽管这仍然需要明确的用户操作,但 iOS 的简单性使用户更容易天真地遵循此过程,认为这是正常或适当的事情。

这可能被恶意使用。用户安装配置文件后,新证书可用于中间人攻击。这一直是一个已知的漏洞,但并不是主要关注的问题,因为尽管可行,但在大多数攻击情形中这是不切实际的。

尽管这不是一个严重的安全风险,但还是很高兴看到 Apple 在允许根证书疯狂运行之前又增加了一层“您确定”检查。



下载: 证书管理清单 Essential 14 Point Free PDF

您如何信任 iOS 中手动安装的根证书?

如果您的用户使用的是 iOS 10.3,则他们需要按照以下步骤来信任配置文件中包含的证书

  1. 确保他们已在设备上安装了配置文件。
  2. 打开 设置。
  3. 导航到常规,然后关于
  4. 选择证书信任设置
  5. 通过配置文件安装的每个根都将在“为根证书启用完全信任”标题下列出。用户可以为每个根启用 / 禁用信任。

如果要处理大量组织控制的设备,则可能要考虑使用 Apple Configurator 或“移动设备管理”。这两个工具都面向企业,并且将自动信任任何包含的证书。


上一篇:您需要知道的 15 个小型企业网络安全统计信息 [2020年12月19日]

下一篇:如何修复 SSL / TLS 握手失败错误 [2020年12月21日]


标签

AES加密AIAndroid根存储AppleAWS S3存储BIMICAA记录DDoSDDoS攻击 DigitalDNS攻击(DoS)攻击HKDFhttpsHTTPSHTTPS加密HTTPS的工作HTTPS身份验证HTTP与HTTPSIoT 设备iPhone和Android手机中删除根证书MozillaNetwrix OFBP2PPCI安全标准RSA认证SEC的文件SMB网络安全SQL Server的攻击SQL注入SSLSSL / TLSSSL / TLS握手SSL / TLS握手失败SSL / TLS证书SSL / TLS证书之一到期SSL和TLSSSL握手ssl证书SSL证书SSL证书和加密密钥SSL证书过期StealthbitsTLS握手W-Fi卡White OpsWindows(XSS)漏洞不良机器人云存储互联网什么是SSL_ERROR_RX_RECORD_TOO_LONG会话密钥保护气隙修复SSL_ERROR_RX_RECORD_TOO_LONG僵尸网络公钥公钥和私钥分组密码和流密码删除根证书加密加密或密码保护勒索软件攻击反射的XSS攻击叶证书和中间证书安全性安全漏洞安装SSL安装的根证书密码套件密钥密钥交换对称加密对称加密密码对称加密算法恶意僵尸程序恶意证书恶意软件恶意软件攻击手动安装的根证书批量密码攻击攻击 散列算法数字签名数据丢失数据丢失防护和加密数据分析数据分类数据安全文件传输机器学习根证书流量测试电子邮件欺骗窃取密码网络保险网络威胁网络安全网络安全攻击网络安全统计网络攻击网络攻击模型网络漏洞网络犯罪网络钓鱼认证方式证书管理证书管理清单 证书管理清单跨站点脚本软件攻击配置文件错误配置防护非对称与对称加密高级加密标黑客攻击

存档