The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Критическая уязвимость в OpenSSL"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Критическая уязвимость в OpenSSL"  +/
Сообщение от opennews (ok) on 19-Апр-12, 21:56 
В экстренном порядке выпущены (http://openssl.org) корректирующие релизы библиотеки OpenSSL 1.0.1a, 1.0.0i и 0.9.8v в которых устранена критическая уязвимость (http://openssl.org/news/secadv_20120419.txt), которая потенциально может быть применена для совершения атаки на приложения, использующие функции OpenSSL. При успешном совершении атаки может быть инициировано выполнение кода злоумышленника.

Проблема выявлена (http://seclists.org/fulldisclosure/2012/Apr/210) группой исследователей безопасности из компании Google, информации о наличии в публичном доступе готового к использованию эксплоита пока нет, но теоретически создание такого эксплоита не составит труда, поэтому всем пользователям рекомендуется в кратчайшие сроки осуществить обновление OpenSSL.  На момент написания новости, пакеты с устранением уязвимости пока анонсированы только для Mandriva Linux (http://www.mandriva.com/en/support/security/advisories/?dis=...), проследить за выходом обновлений для других популярных дистрибутивов можно на данных страницах:  FreeBSD (http://www.vuxml.org/freebsd/), Ubuntu (https://lists.ubuntu.com/archives/ubuntu-security-announce/2.../), Gentoo (http://www.gentoo.org/security/), Slackware (http://www.slackware.com/security/list.php?l=slackware-secur...), openSUSE (http://lists.opensuse.org/opensuse-security-announce/2012-04/), CentOS (http://lists.centos.org/pipermail/centos-announce/2012-April...), Scientific Linux (http://listserv.fnal.gov/scripts/wa.exe?A1=ind1204&L=scienti...), Fedora (https://admin.fedoraproject.org/updates/F16/security), RHEL (http://rhn.redhat.com/errata/rhel-server-errata.html) и Debian (http://www.debian.org/security/).


Проблема вызвана ошибкой приведения типов в функции asn1_d2i_read_bio() при разборе данных в формате DER, используемого при работе с S/MIME и CMS. Уязвимость позволяет инициировать переполнение буфера и выполнить код злоумышленника при обработке специально оформленных данных. Теоретически (http://seclists.org/fulldisclosure/2012/Apr/210) эксплуатация уязвимости возможна только на 64-разрядных системах.


Опасность эксплуатации отмечается для приложений, использующих для разбора MIME-блоков функции SMIME_read_PKCS7 и SMIME_read_CMS, а также любые другие функции, связанные с декодированием DER-блоков через функции на базе BIO (d2i_*_bio) и FILE (d2i_*_fp), например, 2i_X509_bio или d2i_PKCS12_fp. В частности, уязвимости подвержена штатная утилита коммандной строки из состава OpenSSL, которая может быть эксплуатирована при обработке данных в формате DER. Приложения, использующие только процедуры PEM или функции ASN1 (d2i_X509, d2i_PKCS12 и т.п.) не подвержены данной уязвимости. Код, связанный с SSL и TLS, проблеме не подвержен, тем не менее следует обратить внимание, не используют ли приложения кроме SSL/TLS проблемных функций, подобных d2i_X509_bio.

URL: http://marc.info/?l=openssl-announce&m=133484172912216&w=2
Новость: https://www.opennet.ru/opennews/art.shtml?num=33644

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Критическая уязвимость в OpenSSL"  +4 +/
Сообщение от Толя Вихров (ok) on 19-Апр-12, 21:56 
В арче уже обновился (не тестинг) :)
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

161. "Критическая уязвимость в OpenSSL"  –1 +/
Сообщение от Michael Shigorin email(ok) on 21-Апр-12, 16:53 
Build Date: Fri Apr 20 00:51:33 2012
Source RPM: openssl10-1.0.0i-alt1.src.rpm
Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

2. "Критическая уязвимость в OpenSSL"  +3 +/
Сообщение от G.NercY.uR on 19-Апр-12, 21:56 
Жестачина то какая! Что ни месяц то жуткие дыры которые надо в срочном порядке и на всех подведомственных серваках латать!
Чем больше ИТ-технологии вплетаются в жизнь, тем мне как ИТ-шнику страшней от мыслей как же в один прекрасный момент может быть страшно от какого-нибудь ИТ-апокалипсиса.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

3. "Критическая уязвимость в OpenSSL"  +9 +/
Сообщение от umbr (ok) on 19-Апр-12, 22:18 
Наоборот, радоваться надо тому что находят и фиксят.
Будто этих дыр раньше не было или о них вообще никто не знал.
Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

207. "Критическая уязвимость в OpenSSL"  +/
Сообщение от дон педро on 22-Апр-12, 21:43 
Этой дыре минимум 6 лет.
Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

6. "Критическая уязвимость в OpenSSL"  +3 +/
Сообщение от Аноним (??) on 19-Апр-12, 22:47 
ну не такая уж и дикая

> Код, связанный с SSL и TLS, проблеме не подвержен

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

8. "Критическая уязвимость в OpenSSL"  –2 +/
Сообщение от Dron (ok) on 19-Апр-12, 23:03 
DER используется для кодирования сертификатов.
Сайт вполне может подсунуть броузеру специальный сертификат.

Вообще OpenSSL - жуткий отстой... в коде бардак.

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

14. "Критическая уязвимость в OpenSSL"  –7 +/
Сообщение от Аноним (??) on 20-Апр-12, 00:39 
> Вообще OpenSSL - жуткий отстой... в коде бардак.

Это вообще фирменный стиль дочерних проектов OpenBSD.
Правда, среди дилетантов бытует строго обратное мнение, поддерживаемое определенным пиаром.

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

55. "Критическая уязвимость в OpenSSL"  +2 +/
Сообщение от Аноним (??) on 20-Апр-12, 09:25 
> Это вообще фирменный стиль дочерних проектов OpenBSD.
> Правда, среди дилетантов бытует строго обратное мнение, поддерживаемое определенным пиаром.

Вы путайте OpenSSH и OpenSSL, OpenSSL имеет общее с OpenBSD только слово Open в названии. OpenSSL - это форк SSLeay.

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

63. "Критическая уязвимость в OpenSSL"  +3 +/
Сообщение от Куяврик on 20-Апр-12, 10:50 
вы не понимаете. проблема не в Open, проблема в BSD. "профессионалу" из предыдущего поста очень хочется лягнуть OpenBSD, что он и делает. правда "профессионал" прилюдно покрасил штаны в коричневый, но походу это его не смутило.
Ответить | Правка | ^ к родителю #55 | Наверх | Cообщить модератору

67. "Критическая уязвимость в OpenSSL"  –2 +/
Сообщение от Аноним (??) on 20-Апр-12, 11:38 
> "профессионал" прилюдно покрасил штаны в коричневый,

Это вы наверное о себе. Потому что "профессионалы" от бсдов обычно много о себе мнят но по факту умеют много меньше а громкий пиар оказывается несколько преувеличен по сравнению с серыми буднями.

Ответить | Правка | ^ к родителю #63 | Наверх | Cообщить модератору

82. "Критическая уязвимость в OpenSSL"  +/
Сообщение от AdVv email(ok) on 20-Апр-12, 12:25 
http://nuclight.livejournal.com/129457.html
Ответить | Правка | ^ к родителю #67 | Наверх | Cообщить модератору

85. "Критическая уязвимость в OpenSSL"  –1 +/
Сообщение от Аноним (??) on 20-Апр-12, 12:56 
> http://nuclight.livejournal.com/129457.html

Ахх... нуклайт? Эталонный разработчик BSD. Способный сделать так что вокруг проекта умрет все живое, клавший на всех и вся кроме своего немеряного ЧСВ. А излишнее ЧСВ почему-то всегда играет с его обладателем дурную шутку.

Ответить | Правка | ^ к родителю #82 | Наверх | Cообщить модератору

86. "Критическая уязвимость в OpenSSL"  +/
Сообщение от AdVv email(ok) on 20-Апр-12, 13:09 
>> http://nuclight.livejournal.com/129457.html
> Ахх... нуклайт? Эталонный разработчик BSD. Способный сделать так что вокруг проекта умрет
> все живое, клавший на всех и вся кроме своего немеряного ЧСВ.
> А излишнее ЧСВ почему-то всегда играет с его обладателем дурную шутку.

Ну в отличии от тебя он имеет смелость подписаться под своим мнением, а уровень его технических статей вызывает как минимум уважение.
И да, он оказался в топ10 Yandex root, а твое резюме можно увидеть ?

Ответить | Правка | ^ к родителю #85 | Наверх | Cообщить модератору

99. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 20-Апр-12, 14:36 
> Ну в отличии от тебя он имеет смелость подписаться под своим мнением,
> а уровень его технических статей вызывает как минимум уважение.

Я рад за него. Как специалист он хоть и одиозен/предвзят но иногда может и дельно каркнуть даже. А как человек - даже не знаю как это культурно сказать. Прикол состоит в том что в крупных проектах как-то так оказывается что один в поле не воин. А работать совместно с такими как нуклайт... "приятнее" и "результативнее" разве что с Ульрихом Дреппером взаимодействовать, но того более-менее заворкэраундили :)

> И да, он оказался в топ10 Yandex root, а твое резюме можно увидеть ?

Нет, разумеется: я не ищу работу. А с вами я бы вообще в одну команду работать не пошел - не люблю неадекватов. А бздуны почти поголовно с диким ЧСВ и вечно лезут померяться им. При том 99% оных своему ЧСВ еще и по скиллам не соответствует.

Ответить | Правка | ^ к родителю #86 | Наверх | Cообщить модератору

138. "Критическая уязвимость в OpenSSL"  +2 +/
Сообщение от Аноним (??) on 21-Апр-12, 02:31 
>> Ну в отличии от тебя он имеет смелость подписаться под своим мнением,
>> а уровень его технических статей вызывает как минимум уважение.
> Я рад за него. Как специалист он хоть и одиозен/предвзят но иногда
> может и дельно каркнуть даже. А как человек - даже не
> знаю как это культурно сказать. Прикол состоит в том что в
> крупных проектах как-то так оказывается что один в поле не воин.
> А работать совместно с такими как нуклайт... "приятнее" и "результативнее" разве
> что с Ульрихом Дреппером взаимодействовать, но того более-менее заворкэраундили :)

А вы с ним работали?


>> И да, он оказался в топ10 Yandex root, а твое резюме можно увидеть ?
> Нет, разумеется: я не ищу работу. А с вами я бы вообще
> в одну команду работать не пошел - не люблю неадекватов. А
> бздуны почти поголовно с диким ЧСВ и вечно лезут померяться им.
> При том 99% оных своему ЧСВ еще и по скиллам не
> соответствует.

Сейчас, кстати, хорошо видно только ваше ЧСВ...


Ответить | Правка | ^ к родителю #99 | Наверх | Cообщить модератору

143. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 21-Апр-12, 05:10 
> А вы с ним работали?

Я его коменты и посты видел. Вполне достаточно.

> Сейчас, кстати, хорошо видно только ваше ЧСВ...

Вы не дружите с головой? ЧСВ - попытка набить себе цену. А тут 100500 таких же ходит - набить себе цену по определению не выйдет. Какой смысл в чсв у анонима? :)

Ответить | Правка | ^ к родителю #138 | Наверх | Cообщить модератору

203. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Аноним (??) on 22-Апр-12, 06:29 
>> А вы с ним работали?
> Я его коменты и посты видел. Вполне достаточно.

мне лениво это комментировать, да и как-то пофигу, nuclight сам ответит, если пожелает, но прежде чем нападать, сами себя деанонимизируйте, что бы мы посмотрели, какой вы крутой перец.

>> Сейчас, кстати, хорошо видно только ваше ЧСВ...
> Вы не дружите с головой? ЧСВ - попытка набить себе цену. А
> тут 100500 таких же ходит - набить себе цену по определению
> не выйдет. Какой смысл в чсв у анонима? :)

Я головой, и ее содержимым, пользуюсь по назначению. И сейчас, пользуясь головой по назначению, я вижу что вы себе набиваете цену через опускание других, причем кричите спрятавшись за анонима, что не этично, по крайней мере.

Ответить | Правка | ^ к родителю #143 | Наверх | Cообщить модератору

163. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Michael Shigorin email(ok) on 21-Апр-12, 16:56 
> кроме своего немеряного ЧСВ.

Вадим -- вполне толковый специалист.  Со своими тараканами, но кто из нас без того.

Ответить | Правка | ^ к родителю #85 | Наверх | Cообщить модератору

200. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Куяврик on 22-Апр-12, 03:17 
>> "профессионал" прилюдно покрасил штаны в коричневый,
> Это вы наверное о себе.

Дружище, как так получается, "профессионал" всё перепутал и переврал, а речь - внезапно так - обо мне?

Ответить | Правка | ^ к родителю #67 | Наверх | Cообщить модератору

162. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Michael Shigorin email(ok) on 21-Апр-12, 16:54 
> Это вообще фирменный стиль дочерних проектов OpenBSD.

Можно подробнее?

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

211. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Kibab email(ok) on 25-Апр-12, 10:29 
Школота, сначала разберись в разнице между OpenSSL и OpenSSH, а потом придёшь и расскажешь, какое это отношение OpenSSL имеет к OpenBSD :-)
Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

9. "Критическая уязвимость в OpenSSL"  +4 +/
Сообщение от Аноним (??) on 19-Апр-12, 23:11 
> мыслей как же в один прекрасный момент может быть страшно от
> какого-нибудь ИТ-апокалипсиса.

А теперь ты вообще спать спокойно не сможешь - на ка, почитай тут: http://www.rom.by/blog/Birusy_3G_--_prodolzhenie_versija_ot_...

Как тебе такая красота? Между прочим статья не гон, это ресурс очень компетентных парней по биосам, архитектура сервисного проца названа верно, etc, etc - перец явно в теме ;)

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

43. "Критическая уязвимость в OpenSSL"  +/
Сообщение от G.NercY.uR on 20-Апр-12, 05:23 
Спасибо за ссылку, на самом деле эту статью несколько лет назад уже читал, и очень ею был впечатлён :)
Интересно, а реально есть такие уже факты как заражение биоса видях или материнок?
Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

47. "Критическая уязвимость в OpenSSL"  +2 +/
Сообщение от фклфт (ok) on 20-Апр-12, 07:21 
> Интересно, а реально есть такие уже факты как заражение биоса видях или
> материнок?

Уже к большому сожалению есть


Ответить | Правка | ^ к родителю #43 | Наверх | Cообщить модератору

62. "Критическая уязвимость в OpenSSL"  +3 +/
Сообщение от Аноним (??) on 20-Апр-12, 10:48 
вас не затруднит предоставить ссылочку для ознакомления?
Ответить | Правка | ^ к родителю #47 | Наверх | Cообщить модератору

90. "Критическая уязвимость в OpenSSL"  +2 +/
Сообщение от Аноним (??) on 20-Апр-12, 13:52 
> Интересно, а реально есть такие уже факты как заражение биоса видях или материнок?

Так там вполне реальный факт вливки китайозами прямо на фабрике какой-то левой дряни вместо нормальной фирмвари, при том как я понимаю, они вламывались своим бэкдором средствами фирмвари сервисного контроллера, которая для "упрощения" ее анализа мало того что нахрен проприетарная так еще и любезно зашифрована интелом, так что перец поймал подляну по весьма косвенным признакам.

ЗЫЖ реально эффективный способ отлова такой фигни - только физическое чтение SPI-флехи независимой железкой. Нынче обычно все эти запчасти хранятся в одной флехе, но чипсет от интеля может заниматься довольно продвинутыми махинациями с демонстрацией некоего абстрактного представления из этого слоеного пирога. Как то - фирмварь сетевки и BMC не видны как части BIOS, хотя физически в микрухе памяти именно слоеный пирог из 3 компонентов. Вся эта механика в принципе расписана у интела в даташитах, однако про BMC, его набор команд и что делает этот невнятный фирмварез там ни звука.

Ответить | Правка | ^ к родителю #43 | Наверх | Cообщить модератору

112. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 20-Апр-12, 16:11 
весьма сомнительна возможность порчи китайцами, так как оно им попросту не сильно и нужно, в отличие от набигаторов-демократоров.
Ответить | Правка | ^ к родителю #90 | Наверх | Cообщить модератору

122. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Аноним (??) on 20-Апр-12, 22:54 
> весьма сомнительна возможность порчи китайцами, так как оно им попросту не сильно
> и нужно, в отличие от набигаторов-демократоров.

У них достаточно умных голов и грамотных хакеров, в том числе и на службе правительства. Помнится гугл они грамотно взломали и унесли то что их интересовало.

А насчет не сильно надо - возможность вырубить половину инфраструктуры противника легким движением руки еще никому плохо не делала. А компьютеры нынче рулят много чем. Вырубание большой массы компьютеров по сигналу извне может довольно сильно нагнуть кого угодно. Как вы думаете, что будет делать оголодалое население которое не сможет денег с карточки снять потому что банкоматы и банковские системы дружно легли? Вероятно, начнется массовое мародерство и полный беспредел, как минимум.

Ответить | Правка | ^ к родителю #112 | Наверх | Cообщить модератору

129. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 20-Апр-12, 23:39 
> У них достаточно умных голов и грамотных хакеров, в том числе и
> на службе правительства. Помнится гугл они грамотно взломали и унесли то
> что их интересовало.

компетенция китайских специалистов не ставится под сомнение.

> А насчет не сильно надо - возможность вырубить половину инфраструктуры противника легким
> движением руки еще никому плохо не делала. А компьютеры нынче рулят
> много чем. Вырубание большой массы компьютеров по сигналу извне может довольно
> сильно нагнуть кого угодно. Как вы думаете, что будет делать оголодалое
> население которое не сможет денег с карточки снять потому что банкоматы
> и банковские системы дружно легли? Вероятно, начнется массовое мародерство и полный
> беспредел, как минимум.

соль в том, что "занычка" китайцами плохо кореллирует с вышеприведенным материалом по ссылке.
в большей части потому, что сама система виртуализации разработана интелом.

Ответить | Правка | ^ к родителю #122 | Наверх | Cообщить модератору

144. "Критическая уязвимость в OpenSSL"  +2 +/
Сообщение от Аноним (??) on 21-Апр-12, 05:24 
> в большей части потому, что сама система виртуализации разработана интелом.

И что? Китайцы вполне могли решить проабузить полезную фичу для ненавязчивого контроля кучи писюшников которые потом попадут потенциальным противникам. Ничему не противоречит. А контроллер BMC - очень логичная и удобная точка перехвата. Мало того что мало кто допрет искать подляну в этой фирмвари а не основном системном биосе, так он еще и всегда в сети и не выключается никогда, ибо питается от дежурки, что дает ему +10 к ценности: враг думает что он выключил комп и он ничего не может. Но на самом деле это не совсем так. Всего 1 ремотный свисток и BMC включит его. Чертовски удобная штука. В целом выглядит логично и начальные условия вполне подходящие.

Несколько сюрреалистично? Ничего, привыкайте. Мир становится сложнее. Нас будет ждать очень много разных открытий по мере развития технологий. Не все из них вам понравятся. А некоторые смогут вызвать ужас, заставляющий шевелиться волосы даже на ногах.

Ответить | Правка | ^ к родителю #129 | Наверх | Cообщить модератору

65. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Влад (??) on 20-Апр-12, 11:02 
Открою тайну, серваки в принципе надо периодически апдейтить, ибо багфиксы. В некоторых случаях, как в этом, срочно.
Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

4. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 19-Апр-12, 22:19 
>OpenSSL 1.0.1a, 1.0.0i и 0.9.8v

У меня на дебиан стеблэ стоит 0.9.8o, надеюсь там уязвимости нет.
В любом случае буду внимательно следить за обновлениями.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

5. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Аноним (??) on 19-Апр-12, 22:24 
o < v, значит есть.
Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

11. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 20-Апр-12, 00:32 
> У меня на дебиан стеблэ стоит 0.9.8o, надеюсь там уязвимости нет.

http://security-tracker.debian.org/tracker/CVE-2012-2110

Debian/stable package openssl is vulnerable.
squeeze, squeeze (security) 0.9.8o-4squeeze7 vulnerable

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

33. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 20-Апр-12, 01:48 
Все, уже прилетели апдейты.
Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

104. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Andrey Mitrofanov on 20-Апр-12, 14:58 
Так ты того, мон шер, _последи за ними!?
Ответить | Правка | ^ к родителю #33 | Наверх | Cообщить модератору

115. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Crazy Alex (ok) on 20-Апр-12, 16:28 
Здравствуйте, профессор
Ответить | Правка | ^ к родителю #104 | Наверх | Cообщить модератору

36. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Xasd (ok) on 20-Апр-12, 01:58 
> В любом случае буду внимательно следить за обновлениями.

зачем?

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

100. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 20-Апр-12, 14:42 
> зачем?

Чтобы втулить их ASAP, разумеется.

Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

212. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Kibab email(ok) on 25-Апр-12, 10:31 
> надеюсь

Дальше не читал

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

7. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 19-Апр-12, 23:03 
Упс, вот буллшит то. Эта либа ж в каждой дырке... :\
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору
Часть нити удалена модератором

12. "Критическая уязвимость в OpenSSL"  +12 +/
Сообщение от DeadLoco (ok) on 20-Апр-12, 00:33 
По всей видимости, закрытые проприетарные решения с бэкдорами вы считаете лучшей альтернативой опенсорсу, доступному для свободного аудита?

Я, видимо, совсем ничего не понимаю в этой жизни.

Ответить | Правка | ^ к родителю #212 | Наверх | Cообщить модератору

13. "Критическая уязвимость в OpenSSL"  +8 +/
Сообщение от Аноним (??) on 20-Апр-12, 00:34 
> Я не знаю людей в здравом уме, которые используют openssl. Вы можете
> баловаться с линуксом , gnu, и тд ,но Криптография - это
> не та область в которой можно использовать бесплатные решения, созданные в
> свободное время.

Вы так говорите, как будто платные продукты за сотни тысяч долларов используют для криптографии что-то, кроме openssl :)

По факту, практически все современные проприетарные криптографические решения являются форками openssl.

Ответить | Правка | ^ к родителю #212 | Наверх | Cообщить модератору

15. "Критическая уязвимость в OpenSSL"  +4 +/
Сообщение от Аноним (??) on 20-Апр-12, 00:45 
> По факту, практически все современные проприетарные криптографические решения являются форками openssl.

Причем обновление, исправляющее сабжевую дыру, придет к ним с большим опозданием (если вообще придет).
И это правильно. Пусть пpыщавые подростки балуются с бесплатными решениями, созданными в свободное время, и остаются неуязвимыми, а "серьезные бизнесмены", поверившие в красивую рекламу, светят своими корпоративными дырками на весь инет. Чем дураков больше - тем их меньше :)

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору
Часть нити удалена модератором

101. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 20-Апр-12, 14:55 
> Эта "дырка" будет закрыта когда они заменят все выпущенные за 5 лет

Ах, 5 лет? Это вы наверное о том что софт в винде будет 5 лет с этого дня и дальше таскать уязвимый openssl. А ведь будет - средства универсально обновить либу там нет. Так что и спустя 5 лет будут дырявые софтины.

Ответить | Правка | ^ к родителю #85 | Наверх | Cообщить модератору
Часть нити удалена модератором

116. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Crazy Alex (ok) on 20-Апр-12, 16:30 
А вы бы меньше туману напускали да ссыллки на видео часовое клали (рабочий день, поди - некогда его смотреть),  а толком объяснили бы. А то "у нас есть такие приборы" продолжается уже в трёх дестяках ваших комментов.
Ответить | Правка | ^ к родителю #99 | Наверх | Cообщить модератору

123. "Критическая уязвимость в OpenSSL"  +2 +/
Сообщение от Аноним (??) on 20-Апр-12, 23:00 
> Кстати те кто в виндоус используют openssl вместо CAPI совершает преступление

Преступление совершают те кто используют прибитое гвоздями к одной системе апи, которое делает одному-микрософту-ведомо-что. Никаких внятных методов быстро проверить что там все честно - нет, сорцы реализации то недоступны.

А доверять блобу где хз что но "мамой клянусь, мы честные" будет только конченый дебил. Этих господ тоже ловили на каких-то остатках ключей для спецслужб. Стало быть - нафигЪ.

Ответить | Правка | ^ к родителю #99 | Наверх | Cообщить модератору

137. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Crazy Alex (ok) on 21-Апр-12, 02:29 
Чудесно. И при чём здесь взлом kernel.org? Или вы решили всё в одну кучу свалить, чтоб уж точно народ впечатлился?
Ответить | Правка | ^ к родителю #143 | Наверх | Cообщить модератору

142. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 21-Апр-12, 02:59 
> А как назвать человека который будет доверять библиотеке Openssl? В которой, за
> прошлые полгода найдено дюжина уязвимостей. И за полгода до этого. И
> за полгода до этого. и ... И сейчас. И, я уверен
> в следующие полгода эта ситуация не изменится. Так как мы назовем
> того кто поплыл по морю в грозу на заведомо дырявом тазу?
> Или взлом kernel.org вам ни о чем не сигналит?

альтернатива есть?

Ответить | Правка | ^ к родителю #143 | Наверх | Cообщить модератору

165. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Michael Shigorin email(ok) on 21-Апр-12, 17:07 
>> А как назвать человека который будет доверять библиотеке Openssl?
> альтернатива есть?

Есть gnutls:
http://secunia.com/advisories/product/38762/?task=statistics
http://secunia.com/advisories/product/30216/?task=statistics

Почему-то "шпециалист" упомянул CAPI, но не его.  Наверное, в силу объективности.

Ответить | Правка | ^ к родителю #142 | Наверх | Cообщить модератору

202. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 22-Апр-12, 06:22 
>>> А как назвать человека который будет доверять библиотеке Openssl?
>> альтернатива есть?
> Есть gnutls:
> http://secunia.com/advisories/product/38762/?task=statistics
> http://secunia.com/advisories/product/30216/?task=statistics
> Почему-то "шпециалист" упомянул CAPI, но не его.  Наверное, в силу объективности.

Про gnutls мы знаем, но хотелось бы послушать того человека. Интересно же услышать о том, что gnutls наряду с openssl - бездарные поделки, т.к. имеют открытый код, и какие есть таки не бездарные поделки и как можно самостоятельно проверить их на небездарность.

Ответить | Правка | ^ к родителю #165 | Наверх | Cообщить модератору

204. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Michael Shigorin email(ok) on 22-Апр-12, 14:04 
> но хотелось бы послушать того человека.

Простите, тот человек вчерась упорно гнал и не вменялся.  Пришлось зачистить. :(

Боюсь, не расскажет он такой методики.

Ответить | Правка | ^ к родителю #202 | Наверх | Cообщить модератору

18. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Пользователь Debian on 20-Апр-12, 01:15 
schannel в Microsoft Windows это форк OpenSSL?
Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

25. "Критическая уязвимость в OpenSSL"  +2 +/
Сообщение от Аноним (??) on 20-Апр-12, 01:30 
А вы думали, мелкософтовцы сами осилили написать код для криптосистемы? =)
Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

21. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Аноним (??) on 20-Апр-12, 01:25 
> а ресторанах подают только доширак. По крайней мере, бомжики в нашем подвале так считают.

Иногда даже доширак лучше того, что подают в ресторанах. Особенно когда повар в плохом настроении постоянно плюется в кастрюли, а официанту не понравился взгляд клиента и он специально вывалял еду по полу :)

> Если у вас нет денег на хорошую библиотеку - используйте хотя бы cryptlib или царя.

Зачем, если все то же самое можно получить бесплатно, да еще и со своевременными обновлениями безопасности?

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору
Часть нити удалена модератором

50. "Критическая уязвимость в OpenSSL"  +4 +/
Сообщение от anonymous (??) on 20-Апр-12, 07:57 
Вы путаете дырки с закладками.
Ответить | Правка | ^ к родителю #99 | Наверх | Cообщить модератору

57. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Аноним email(??) on 20-Апр-12, 10:28 
Почти, чаще с именем BackdoorPacketCmdLine.
https://www.opennet.ru/opennews/art.shtml?num=33549
Ответить | Правка | ^ к родителю #143 | Наверх | Cообщить модератору

39. "Критическая уязвимость в OpenSSL"  +2 +/
Сообщение от Аноним (??) on 20-Апр-12, 02:50 
> Криптография - это не та область в которой можно использовать бесплатные решения,

Криптография - это не та область в которой можно использовать закрытый проприетарный крап который даже невозможно проверить на наличие закладок. Достаточно вспомнить историю с встраиванием "дополнительных" ключей в PGP, после запала на подобных потугам парням пришлось открыть сорец, хоть и под коммерческой лицензией. Без этого им просто уже никто не верил поскольку останки ключей "с двойным дном" говорили очень уж не в пользу проприетарной хрени.

И, собственно, а как вы проводили аудит проприетарных решений на эксплойтабельность? А то вон comodo hacker - провел "аудит" кучи проприетари, так что DigiNotar в момент стал банкротом т.к. там взломали вообще все, от тыринга логина администратора домена (==потенциально хакнуты все машины домена) до выпуска пачки левых сертов с валидными подписями на них (==кирдык CA как сущности).

Ответить | Правка | ^ к родителю #212 | Наверх | Cообщить модератору
Часть нити удалена модератором

59. "Критическая уязвимость в OpenSSL"  +3 +/
Сообщение от Кирилл (??) on 20-Апр-12, 10:36 
Можно. Садись и проверяй.
Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору
Часть нити удалена модератором

81. "Критическая уязвимость в OpenSSL"  +2 +/
Сообщение от Кирилл (??) on 20-Апр-12, 12:21 
А кто это сказал, что это "закладка"? Очередной проплаченный анонимус?
Ответить | Правка | ^ к родителю #122 | Наверх | Cообщить модератору
Часть нити удалена модератором

87. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Andrey Mitrofanov on 20-Апр-12, 13:38 
>www.linux.org.ru/news/opensource/995479
> 2012 год -  Критическая уязвимость в OpenSSL версии 0.9.8 позволяющая удаленно
> выполнять код.
> ЛОР они знали.

Фсмысле?? Ещё в 2005-ом рекомендовали ставить свежих закладок?! //МВ на службе.

Ответить | Правка | ^ к родителю #144 | Наверх | Cообщить модератору

125. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Аноним (??) on 20-Апр-12, 23:03 
> 2012 год -  Критическая уязвимость в OpenSSL версии 0.9.8 позволяющая удаленно
> выполнять код.

А в виндусе каждый месяц пачка апдейтов выполнение кода чинит. И???

Ответить | Правка | ^ к родителю #144 | Наверх | Cообщить модератору

61. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Hety (??) on 20-Апр-12, 10:42 
Эта новость прозрачно намекает на то, что таки да, его проверяют.
Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору
Часть нити удалена модератором

71. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Аноним (??) on 20-Апр-12, 11:46 
> Эта закладка находилась в OpenSSl три с лишним года. Где были все
> эти проверяльщики?

Ну вот они пришли. А сколько лет в проприерастии были закладки и просто баги реализации - мы вообще можем и не узнать.

Ответить | Правка | ^ к родителю #122 | Наверх | Cообщить модератору
Часть нити удалена модератором

105. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Аноним (??) on 20-Апр-12, 15:13 
> наглость. Это уже не бревно, это амазонская сельва в собственном глазу.

О, надо будет запомнить. Годное описание производителей проприетари.

> На багах openSSL уже третье поколение студентов учится криптоанализу - смотри для
> примера ссылку на курс внизу.

А на попытках встроить бэкдор с левыми доп. ключами в (проприетарный) PGP какое поколение уже учится? Прямо эталонно было - им таки пришлось сорц открыть после столь эпичного обсирона :)

Ответить | Правка | ^ к родителю #144 | Наверх | Cообщить модератору

79. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 20-Апр-12, 12:14 
>> Эта закладка находилась в OpenSSl три с лишним года. Где были все
>> эти проверяльщики?
> Ну вот они пришли. А сколько лет в проприерастии были закладки и
> просто баги реализации - мы вообще можем и не узнать.

Ты и линуксовое ядро проверить не способен, несмотря на полностью открытый код. Опаньки?

Ответить | Правка | ^ к родителю #71 | Наверх | Cообщить модератору

91. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Кирилл (??) on 20-Апр-12, 13:53 
> Ты и линуксовое ядро проверить не способен, несмотря на полностью открытый код.
> Опаньки?

Способен тот, кому это нужно.

Ответить | Правка | ^ к родителю #79 | Наверх | Cообщить модератору

97. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 20-Апр-12, 14:18 
> Ты и линуксовое ядро проверить не способен, несмотря на полностью открытый код.

Как минимум некоторые автоматические валидации кода и поиск характерных попыток западлостроения или просто чувствительных багов я вполне могу сделать, методы есть. А какое-нить Сoverity это делает на регулярной основе и не то чтобы сильно плохо.

Ответить | Правка | ^ к родителю #79 | Наверх | Cообщить модератору

73. "Критическая уязвимость в OpenSSL"  +3 +/
Сообщение от Аноним (??) on 20-Апр-12, 11:48 
> Эта закладка находилась в OpenSSl три с лишним года. Где были все
> эти проверяльщики?

Клоун, почитай что о закрытом коде в криптографии пишут известные криптографы.

Ответить | Правка | ^ к родителю #122 | Наверх | Cообщить модератору
Часть нити удалена модератором

89. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Кирилл (??) on 20-Апр-12, 13:52 
Профессор защищает свою поляну. Но это не отменяет того факта, что SSL  -- и OpenSSL, в частности -- всё меньше отвечает реалиям времени.
Ответить | Правка | ^ к родителю #79 | Наверх | Cообщить модератору

95. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 20-Апр-12, 14:12 
> Огласите список "Известных криптографов" и их высказывани, не стесняйтесь.

Брюс Шнайер тебя устроит? Умный перец, в криптографии шарит хорошо.

Ответить | Правка | ^ к родителю #79 | Наверх | Cообщить модератору

108. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Кирилл (??) on 20-Апр-12, 15:29 
Криптография тут не причём.
Ответить | Правка | ^ к родителю #95 | Наверх | Cообщить модератору

128. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Аноним (??) on 20-Апр-12, 23:30 
> Криптография тут не причём.

Ах, я заметил, вон тот перец просто очередной микрософтовский бот, пытающийся втереть что закрытые реализации делающие хрен знает что и как - не так уж плохо. Не, извините, если от меня прячут реализацию алгоритмов, у меня нет причин доверять такому коду.

Ответить | Правка | ^ к родителю #108 | Наверх | Cообщить модератору

96. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 20-Апр-12, 14:16 
> - очень подробно объяснил почему НЕ стоит пользоваться openssl.

SSLем вообще пользоваться в его текущей реализации не стоит пользоваться. В браузерах - точно. В остальных местах - ну если очень аккуратно выбирать и валидировать CA (только свой и признаем только его валидные сертификаты) и аккуратно кодить программы... вот только какой процент программ и сценариев их юзежа этому удовлетворяет?

Example: вот конектимся мы к жаббер серверу. Много вы знаете о том как ваш клиент валидирует сертификаты? А знаете что будет если ComodoHacker выпишет серт на то же самое но другой CA? Ну вот и правильно - при этом даже не важно какая именно либа SSL реализует, секурность от нее будет чисто номинальная в общем случае.

Ответить | Правка | ^ к родителю #79 | Наверх | Cообщить модератору

110. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Кирилл (??) on 20-Апр-12, 15:32 
SSL себя окончательно и полностью изжил. Но в замен ничего столь же массового нет.
Ответить | Правка | ^ к родителю #96 | Наверх | Cообщить модератору

98. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 20-Апр-12, 14:25 
> - очень подробно объяснил почему НЕ стоит пользоваться openssl.

Профессор читающий курс вообще не обязан быть каким-то особо-крутым криптографом. Имелись в виду парни рангом покруче. Те кто разрабатывает криптоалгоритмы всерьез, анализирует их на уязвимости и прочая. Практически криптографы сходятся прямо в определениях на том факте что закрытым должен быть только ключ а не сам алгоритм. По сути это и есть формальное признание опенсорца как единственно осмысленного варианта в криптографии. Ибо когда все честно - алгоритмы прятать не требуется, только ключи. Более того, если алгоритмы прячут - это плохой признак. Нельзя провалидировать то что реализовано именно в соответствии с "рекомендациями лучших собаководов" и не воткнуто бэкдоров.

Ответить | Правка | ^ к родителю #79 | Наверх | Cообщить модератору
Часть нити удалена модератором

126. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 20-Апр-12, 23:21 
> Покруче? Чем Josh Benaloh?
> Публикуется с 1979 года (Symbolic and Algebraic Computation )

Ну круто, да. Таненбаум вон тоже книжки пишет. О том как (не) надо писать операционки. И как, много вы операционок писаных по этой книжке вокруг видите?

> с 85 занимается системами электронных выборам.

То-то в сша уже был скандал из-за недоверия общественности к машинам действующим по никому не известным алгоритмам, которым предлагается слепо верить. Как баранам которых на мясокомбинат тащат.

> С 2000 в California Internet Voting Advisory Committee
> Автор многочисленных исследований пример http://en.wikipedia.org/wiki/Benaloh_cryptosystem

Ну, очередная криптосистема с публичным ключом какая-то. Насколько я понимаю ее фундаментальные свойства не так уж далеки от того же RSA. И чего же оно такое хорошее нигде не используется? Или оно просто ничем таким не лучше еще пачки таких же алгоритмов и является примерно тем же самым по смыслу, под другим соусом?

> и почетный проффесор четырех университетов и прочая и прочая.

Да вон Таненбаум тоже почетный профессор. Идите его операционки используйте, чтоли. Не хотите? :)

> Это самый что ни на есть практикующий крипто специалист.

Что-то глядя на алгоритмы вокруг - я не вижу широкого использования алгоритмов от данного специалиста. Что за фигня?

Ответить | Правка | ^ к родителю #110 | Наверх | Cообщить модератору

118. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Crazy Alex (ok) on 20-Апр-12, 16:37 
А кратко можно? Пересмотреть кучу видео ради пары утверждений, когда это далеко не основная твоя специальность - оно всё же на любителя. Или более точные ссылки - какой файл, какая минута
Ответить | Правка | ^ к родителю #79 | Наверх | Cообщить модератору
Часть нити удалена модератором

120. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Crazy Alex (ok) on 20-Апр-12, 17:19 
Да и так на очереди материалов на год вперёд.
А всё же - в двух словах можете объяснить, что там с OpenSSL не так?
Ответить | Правка | ^ к родителю #110 | Наверх | Cообщить модератору

139. "Критическая уязвимость в OpenSSL"  +2 +/
Сообщение от Crazy Alex (ok) on 21-Апр-12, 02:35 
Ну так баги везде бывают. Но вы тут как-то полунамёками пытаетесь сказать,что конкретно с OpenSSL что-то настолько не так, что обэтом даже на лекциях говорят. Вот мне и инетересно было, что именно.

Впрочем, сейчас у меня возникло другое подозрение. Судя по тому,ч то вы:
1) убеждаете, что открытый код ненадежен поопределению (причем в криптографии!)
2) даёте ссылку на "крытого спеца" и обосновываете это тем, что он работает в MS
3) никаких конкретных доводов не привели, зато туману напустили целую тучу

возникает подозрение, что вы просто-напросто очередной "евангелист" Майкрософта. Так что а пойдите-ка мимо товарищ - как говорится, до выяснения.

Ответить | Правка | ^ к родителю #50 | Наверх | Cообщить модератору

127. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 20-Апр-12, 23:26 
> Классический курс от одного из лучших специалистов Miscrosoft,

А, так вот почему он нападает так избирательно на именно openssl, коммерческий интерес.

Вот прям ща, я уже так и побежал доверять выводам проплаченного специалиста со шкурным интересом относительно конкурирующих продуктов. Ищите идиотов где-нибудь в другом месте.

И да, лично я не собираюсь считать закрытый код шифрования доверяемым. Мало ли что он там побочно делает. Show us the code or GTFO. Блобы по определению недоверяемы - их авторы не хотят давать в руки остальных людей возможность верифицировать код простыми и удобными методами. Для криптографии это более чем подозрительно и доверять таковой - упаси боже.

Любой криптограф знает что в криптографии единственным секретом должен быть ключ. А раз так - нет повода прятать алгоритм.

Ответить | Правка | ^ к родителю #110 | Наверх | Cообщить модератору

141. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Аноним (??) on 21-Апр-12, 02:48 
>>А, так вот почему он нападает так избирательно на именно openssl, коммерческий интерес.
> Баги в код openssl тоже он подсовывает?

т.е. в том, что пишет он багов нет? можно ссылочку на исходняки, хочу посмотреть.

>>Вот прям ща, я уже так и побежал доверять выводам проплаченного специалиста
> Вам  ненависть к Майкрософту затмевает глаза. В майкрсософтк работают прекрасные ученые
> и программисты, ничуть не хуже чем в Гугле или любой другой
> корпорации. И, у меня складывается такое впечатление, по образованнее многих здесь,
> включая и вас.

Бесспорно, работают, и что с того?

>>И да, лично я не собираюсь считать закрытый код шифрования доверяемым. Мало ли что он там побочно делает. Show us the code or GTFO. Блобы по определению недоверяемы - их авторы не хотят давать в руки остальных людей возможность верифицировать код простыми и удобными методами.
> А открытый код получается что? По определению "доверяемый"? Тогда у меня для
> вас плохая новость - жмите ctrl+home, что бы прочитать ее.

Открытый код я могу элементарно проверить хотя бы на команды подобные "BackdoorPacketCmdLine", а закрытый?

Ответить | Правка | ^ к родителю #50 | Наверх | Cообщить модератору

156. "Критическая уязвимость в OpenSSL"  +2 +/
Сообщение от kurokaze (ok) on 21-Апр-12, 12:02 
>В майкрсософтк работают прекрасные ученые и программисты

Почему же у них из разу в раз гуано получается?
Это риторический вопрос

Ответить | Правка | ^ к родителю #50 | Наверх | Cообщить модератору

201. "Критическая уязвимость в OpenSSL"  –1 +/
Сообщение от Куяврик on 22-Апр-12, 03:24 
>>В майкрсософтк работают прекрасные ученые и программисты
> Почему же у них из разу в раз гуано получается?
> Это риторический вопрос

Не хотят напрягаться для разного быдла. Сорри, вырвалось.

Ответить | Правка | ^ к родителю #156 | Наверх | Cообщить модератору

205. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 22-Апр-12, 19:35 
> Не хотят напрягаться для разного быдла. Сорри, вырвалось.

А ты бы стал напрягаться для всяких там манагеров? Результат труда тебе не принадлежит. У тебя его все-равно отнимают. А зарплату и так дадут - зачем работать лучше? Проприерасы почему-то никак не могут понять что эта их жаба их же и похоронит в результате, естественными методами. Причинно-следственные связи будут примерно как для отмирания рабовладения, плюс-минус лапоть :)

Ответить | Правка | ^ к родителю #201 | Наверх | Cообщить модератору

92. "Критическая уязвимость в OpenSSL"  +1 +/
Сообщение от Аноним (??) on 20-Апр-12, 14:04 
> В этой "либе" зарегистрирована каждая возможная дырка, включая экзотические, типа timing attack

Тайминг-атаки применимы на почти всю криптографию так или иначе, особенно на некоторых наборах данных типа VoIP. Эффективно их заткнуть там - вообще целое отдельное приключение.

Ответить | Правка | ^ к родителю #212 | Наверх | Cообщить модератору

16. "Критическая уязвимость в OpenSSL"  –1 +/
Сообщение от Аноним (??) on 20-Апр-12, 00:46 
> Упс, вот буллшит то. Эта либа ж в каждой дырке... :\

Не нравится? А вот в gnutls уязвимостей на порядок меньше, да и качество кода повыше.
Но вот всякие апачи, желающие подстилаться под проприетарщиков, в жизни этого не признают.

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

44. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 20-Апр-12, 05:48 
Это пока ее нигде не юзают. Начнут юзать - вылезит еще и поболее чем тут :(
Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

77. "Критическая уязвимость в OpenSSL"  –1 +/
Сообщение от Аноним (??) on 20-Апр-12, 12:13 
Наконец-то здравый коммент. Кстати, фраза справедлива и по отношению к secure by design системам. Якобы secure by design.
Ответить | Правка | ^ к родителю #44 | Наверх | Cообщить модератору

58. "Критическая уязвимость в OpenSSL"  –6 +/
Сообщение от Кирилл (??) on 20-Апр-12, 10:35 
Гугля планомерно обгаживает SSL, явно с намерением пропихнуть что-то своё взамен. Это ж огромный неокученный пока рынок. В рашке то, скажем, КриптоПро под суетилось, законодательно монополизировав рынок. А Гугля такое же будет пытаться делать, но уже на своём уровне.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

83. "Критическая уязвимость в OpenSSL"  +/
Сообщение от szh (ok) on 20-Апр-12, 12:50 
у тебя больное воображение воспитанное в рашке
Гугль такие вещи пихает в открытом виде, даже код протокола бесплатно отдавая.
Ответить | Правка | ^ к родителю #58 | Наверх | Cообщить модератору

88. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Кирилл (??) on 20-Апр-12, 13:49 
Гуголь ничего не делает бесплатно. А сложившая инфраструктура массовых крипто-услуг в Интернете сейчас, по сути, бесхозная и уязвимая. Лакомый кусок. И у Гугля сейчас есть все предпосылки, чтобы вклиниться туда со своими решениями. Но для этого нужно изгадить (вполне заслуженно, надо сказать) ныне присутствующие.
Ответить | Правка | ^ к родителю #83 | Наверх | Cообщить модератору

94. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 20-Апр-12, 14:11 
> для этого нужно изгадить (вполне заслуженно, надо сказать) ныне присутствующие.

Как минимум реализация ауторитей в SSL натурально никакая. Любой CA может выписать по желанию левой пятки сертификат на что угодно и все посчитают это за чистую монету.

Ответить | Правка | ^ к родителю #88 | Наверх | Cообщить модератору

206. "Критическая уязвимость в OpenSSL"  +/
Сообщение от szh (ok) on 22-Апр-12, 20:49 
поиск бесплатен
хром бесплатен
андроид бесплатен
гмейл бесплатен

P.S. решение гугла не станет универсальным, если не будет бесплатным.

Ответить | Правка | ^ к родителю #88 | Наверх | Cообщить модератору

210. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Кирилл (??) on 23-Апр-12, 10:38 
Всё это оплачивается рекламодателями, а значит опосредованно, через долю на рекламу и продвижение в себестоимости, потребителями.
Ответить | Правка | ^ к родителю #206 | Наверх | Cообщить модератору

114. "Критическая уязвимость в OpenSSL"  +/
Сообщение от Аноним (??) on 20-Апр-12, 16:18 
>  Теоретически эксплуатация уязвимости возможна только на 64-разрядных системах.

http://seclists.org/fulldisclosure/2012/Apr/225:
> Correct me if I am wrong, but shouldn't this only be a problem on
> systems where a size_t is wider than an int i.e. not on 32 bit systems?

No because size_t is unsigned. Some attacks would rely on being 64 like he stated, but not all.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру