> Проблемы NetBSD - это проблемы NetBSD. Ещё пожалуйся, что они для Linux эти проблемы вызваны - фрагментацией платформы. Благодаря pr компании, пропагандируемые которой цели, мягко говоря, не достигнуты.
> Да, его функциональность выходит за пределы того, что описано в названии (secure
> shell), однако, давай посмотрим на результат, а не на идеологию? Всё
смотрю - мильен уязвимостей, часть из которых remote root, куча костылей и подпорок, выпиливание "устаревших" алгоритмов и возможностей по желанию левой пятки.
А "все работало" у меня и в ssh2.
> Чтобы не быть голословным:
ссылки на баги, добавленые после форка, очень убедительно.
С тем же успехом ты мог бы пользоваться доисторической версией openssl
> https://www.opennet.ru/opennews/art.shtml?num=40342 (CVE-2014-5139, CVE-2014-3512
> и CVE-2014-3505 к libressl неприменимы)
"в приложениях для которых включена поддержка SRP. " Нет приложений и возможности их собирать с этой поделкой, нет проблемы, просто отлично.
Про более серьезные уязвимости - Дополнение: Указанные уязвмости устранены в выпуске LibreSSL 2.0.5. И так - чего ни хватишься.
То есть никакого code review - нет, ниасиляторы на него неспособны, есть только героическое выпиливание фич, не используемых полутора разработчиками. О чем и речь. Причем таким образом ликвидируются либо бесполезные за неиспользуемостью самой фичи, либо малозначительные уязвимости. А все основные, которые как раз всех и интересуют, потому что затрагивают ключевой софт - все на месте.
> https://www.opennet.ru/opennews/art.shtml?num=41782 (FREAK, не проявляется в libressl
потому что нет алгоритма. При этом для защиты от мегауязвимости необходимо и достаточно эти алгоритмы - выключить в настройках, если они вообще зачем-то оказались включены.
> Продолжать мне тупо лень - сам справишься, если захочешь.
спасибо за потерянное время. Как я и предполагал, все якобы побежденные уязвимости - в маргинальных шифрах (которые _нужны_ для совместимости, но которые совершенно незачем включать по умолчанию) и специфических протоколах (использующий их софт банально не работает с чудо-либой)
Все серьезные уязвимости в _актуальных_ протоколах и шифрах - в наличии, что и требовалось доказать.
