[Q] controle d'intégrité de OSX 10.5.8

34 réponses
Avatar
manu
Bonjour

10.5.8 est la dernière version de MacOS X pour processeurs PowerPC. Une
mise à jour « combo » est disponible sur le site d'Apple:
https://support.apple.com/kb/DL866?viewlocale=en_US&locale=en_US

En suivant le lien, on passe par 3 redirections, dont deux sans SSL et
on finit par télécharger le .dmg en http:// sur le CDN akamai. Cette
situation donne envie de vérifier le sha1 du fichier téléchargé, et il
ne correspond pas à ce que Apple a publié au moment de la sortie de
10.5.8 dans l'avis de sécurité APPLE-SA-2009-08-05-1:
https://lists.apple.com/archives/security-announce/2009/Aug/msg00001.htm

En fait si on creuse, on découvre que 10.5.8 a été modifié après l'avis
de sécurité, sans changer le numéro de version: Si on décompacte
MacOSXUpdCombo10.5.8.pkg (avec xar, puis gunzip sur le fichier Payload
et enfin pax) pour examiner
System/Library/CoreServices/SystemVersion.plist on trouve
ProductBuildVersion égal à 9L31a alors que MacOS X 10.5.8 est censé
avoir 9L30. Détails ici:
http://lapcatsoftware.com/blog/2009/09/01/apple-hot-swapped-mac-os-x-10-
5-8/

Donc on a un début d'explication, mais toujours pas de moyen de vérifier
l'intégrité. Est-ce que quelqu'un a sous le coude un 10.5.8 téléchargé
en 2009? Je suis intéressé par la sortie de la commande
openssl sha1 MacOSXUpdCombo10.5.8.pkg

Piste alternative: quand on ouvre MacOSXUpdCombo10.5.8.pkg dans le
programme d'installation, la fenêtre a un icone en haut à droite qui
permet de visualiser le certificat de la mise à jour, censé nous
rassurer sur l'authenticité du logiclel. Soucis: il est signé par un
certificat qui n'est pas présent dans le trousseau, ce qui jette un
certain doute sur la validation réelle du certificat.

--
Emmanuel Dreyfus
http://hcpnet.free.fr/pubz
manu@netbsd.org

10 réponses

1 2 3 4
Avatar
mv
Emmanuel Dreyfus a attiré mon attention en écrivant :
10.5.8 est la dernière version de MacOS X pour processeurs PowerPC. Une
mise à jour « combo » est disponible sur le site d'Apple:
https://support.apple.com/kb/DL866?viewlocale=en_US&locale=en_US
En suivant le lien, on passe par 3 redirections

Quelque chose m'échappe : arrivé sur la page que tu indiques, un clic
sur le bouton "Download" et le téléchargement démarre... Je ne vois pas
de quelles redirections tu parles...
Cordialement.
--
Michel Vauquois
<http://michelvauquois.free-h.fr>
85 nuances d'automne :
<http://matiere-a-voir-2.michelvauquois.free-h.fr>
Avatar
derfnam
M.V. wrote:
Emmanuel Dreyfus a attiré mon attention en écrivant :
10.5.8 est la dernière version de MacOS X pour processeurs PowerPC. Une
mise à jour « combo » est disponible sur le site d'Apple:
https://support.apple.com/kb/DL866?viewlocale=en_US&locale=en_US
En suivant le lien, on passe par 3 redirections

Quelque chose m'échappe : arrivé sur la page que tu indiques, un clic
sur le bouton "Download" et le téléchargement démarre... Je ne vois pas
de quelles redirections tu parles...
Cordialement.

Pareil ici, accès direct au téléchargement avec un Mac sous El Capitan
et Safari en version 10.0.2.
--
Manfred
Avatar
mv
Manfred La Cassagnère a attiré mon attention en
écrivant :
--
Manfred

Ta signature n'est - encore - pas conforme ! Il manque l'espace après
les 2 tirets... ;-)
Cordialement.
--
Michel Vauquois
<http://michelvauquois.free-h.fr>
85 nuances d'automne :
<http://matiere-a-voir-2.michelvauquois.free-h.fr>
Avatar
g4fleurot
Manfred La Cassagnère estime devoir nous faire part de ceci :
--
Manfred

Dans MacSoup > Préférences > Couleurs, tu choisi une couleur distinctive
pour ta signature.
Si elle n'est pas standard, ça se voit tout de suite.
Et elle ne serait pas apparue dans mon suivi.
--
Gérard FLEUROT plus un
Avatar
manu
M.V. wrote:
En suivant le lien, on passe par 3 redirections

Quelque chose m'échappe : arrivé sur la page que tu indiques, un clic
sur le bouton "Download" et le téléchargement démarre... Je ne vois pas
de quelles redirections tu parles...

Je parle de celles qui t'échappent, justement :-)
Voila ce que le navigateur ne montre hélas pas:
$ curl -sLOD -
https://support.apple.com/downloads/DL866/en_US/MacOSXUpdCombo10.5.8.dmg
HTTP/1.1 302 Moved Temporarily
Server: Apache/2.2.31 (Unix)
Location:
http://download.info.apple.com/Mac_OS_X/031-11750.20150116.zcAaD/MacOSXU
pdCombo10.5.8.dmg
Content-Length: 0
Content-Type: text/html;charset=UTF-8
Cache-Control: public, max-age950
Date: Sun, 15 Jan 2017 14:38:35 GMT
Connection: keep-alive
Cache-Control: no-siteapp
HTTP/1.1 302 Moved Temporarily
Server: Apache/2.2.29 (Unix)
Location:
http://supportdownload.apple.com/download.info.apple.com/Apple_Support_A
rea/Apple_Software_Updates/Mac_OS_X/downloads/031-11750.20150116.zcAaD/M
acOSXUpdCombo10.5.8.dmg
Content-Length: 438
Content-Type: text/html; charset=iso-8859-1
Date: Sun, 15 Jan 2017 14:38:35 GMT
Connection: keep-alive
HTTP/1.1 200 OK
Server: Apache
Accept-Ranges: bytes
Content-Type: application/octet-stream
Last-Modified: Sat, 17 Jan 2015 03:23:39 GMT
ETag: "d52774490585873c7abce2f52d54b724:1421465019"
Content-MD5: 1Sd0SQWFhzx6vOL1LVS3JA= Content-Length: 795631252
Date: Sun, 15 Jan 2017 14:38:35 GMT
Connection: keep-alive
--
Emmanuel Dreyfus
http://hcpnet.free.fr/pubz
Avatar
derfnam
Fleuger wrote:
Manfred La Cassagnère estime devoir nous faire part de ceci :
--
Manfred

Dans MacSoup > Préférences > Couleurs, tu choisi une couleur distinctive
pour ta signature.
Si elle n'est pas standard, ça se voit tout de suite.
Et elle ne serait pas apparue dans mon suivi.

Bon, j'ai compris... Ces temps-ci, je rajoute ma signature à la main, et
j'inclus bêtement le "--" en 1ere ligne! Ceci doit expliquer celà... Là,
ca devrait aller mieux?
--
Deux intellectuels assis vont moins loin qu'une brute qui marche.
Audiard 6/10
Avatar
contact
Manfred La Cassagnère wrote:
--
Deux intellectuels assis vont moins loin qu'une brute qui marche.
Audiard 6/10

dommage que la brute tourne en rond...
--
/ Maître Spirituel, Voyant, Médium, Mage, Alchimiste...
--o-- Consultation 20 euros, Paypal... Magie et Voyance...
/ <08-D<X=8 - Mes Services - http://www.metamaitre.com
------------------------> La Vie Est Belle <----------------------<<<
Avatar
g4fleurot
Manfred La Cassagnère a tout bonnement rédigé :
Ces temps-ci, je rajoute ma signature à la main,

Même à la main, si elle est correcte, elle change de couleur par rapport
au texte si ça a été configuré.
--
Gérard FLEUROT plus un
Avatar
Le Moustique
Le 15/01/2017 05:30, Emmanuel Dreyfus a écrit :
Est-ce que quelqu'un a sous le coude un 10.5.8 téléchargé
en 2009? Je suis intéressé par la sortie de la commande
openssl sha1 MacOSXUpdCombo10.5.8.pkg

SHA1(/Volumes/Mac OS X Update Combined/MacOSXUpdCombo10.5.8.pkg)=
c195fc5539e1370009f2405f2f14a1c468544dd1
Est-ce ce que tu attendais?
--
/)
-:oo= Guillaume
)
Je nettoyais mon clavier, et le coup est parti tout seul.
Avatar
derfnam
Fleuger wrote:
Manfred La Cassagnère a tout bonnement rédigé :
Ces temps-ci, je rajoute ma signature à la main,

Même à la main, si elle est correcte, elle change de couleur par rapport
au texte si ça a été configuré.

Voyons ça...
--
Manfred
1 2 3 4