top
logo


В OpenSSL обнаружена критическая уязвимость, которая может привести к утечке закрытых ключей PDF Печать E-mail
08.04.14 07:49

В OpenSSL выявлена одна из самых серьёзных уязвимостей (CVE-2014-0160) в истории проекта, затрагивающая огромное число сайтов, серверных систем и клиентских приложений, использующих OpenSSL 1.0.1 для организации обмена данными через защищённое соединение. Суть проблемы проявляется в возможности доступа к 64Кб памяти клиентского или серверного процесса с которым установлено шифрованное соединение.

Практическая опасность уязвимости связана с тем, что в подверженной утечке области памяти могут размещаться закрытые ключи или пароли доступа, которые потенциально могут быть извлечены удалённым злоумышленником. При удачном проведении атаки злоумышленник может получить содержимое ключа, используемого для организации шифрованного доступа к серверу, и организовать перехват на транзитном узле защищённого трафика. Также не исключена утечка паролей, идентификаторов сессий и других закрытых данных клиентских приложений при попытке их соединения с подконтрольными злоумышленникам серверными системами.

Причиной проблемы является отсутствие проверки выхода за допустимые границы в коде реализации TLS-расширения heartbeat (RFC 6520), что позволяет инициировать отправку удалённой стороне до 64Кб данных из области за границей текущего буфера. При этом возможна отправка произвольных 64Кб данных, а не только примыкающих к границе буфера (путем повторения запросов атакующий может шаг за шагом прочитать всё содержимое памяти). По некоторым оценкам проблема охватывает до половины поддерживающих защищённое соединение серверных систем в Сети, включая собранные с OpenSSL 1.0.1 web-серверы (Apache httpd, nginx), почтовые серверы, XMPP-серверы, VPN-системы, шлюзы и скрытые сервисы анонимной сети Tor.

Связанная с атакой активность не проявляется в серверных логах, что затрудняет выявление фактов эксплуатации уязвимости. Возможность создания рабочего эксплоита для извлечения ключей безопасности без оставления следов в логе подтверждена исследователями из компаний Google и Codenomicon, выявивших уязвимость. В связи с тем, что проблема присутствует в коде OpenSSL уже более двух лет и, при этом, невозможно отследить по логу уже совершённые атаки, помимо установки обновления пользователям рекомендуется поменять SSL-сертификаты, ключи доступа и пароли. Для выявления возможного применения атаки в диком виде продвигается инициатива по развёртыванию сети подставных honeypot-серверов, фиксирующих попытки эксплуатации уязвимости.

Проблема проявляется только в актуальной стабильной ветке OpenSSL 1.0.1 и тестовых выпусках 1.0.2, прошлые стабильные ветки 0.9.x и 1.0.0x уязвимости не подвержены. Системы, использующие выпуски OpenSSL 1.0.1[abcdef], требуют срочного обновления. Уязвимость устранена в выпуске OpenSSL 1.0.1g. Обновления пакетов уже выпущены для RHEL 6, CentOS 6, Fedora 19/21, FreeBSD 8.4+, Ubuntu 12.04-13.10, Debian wheezy/jessie/sid, ALT Linux, CRUX, OpenBSD 5.3+. Проблема пока не исправлена в OpenSUSE 12.2+, NetBSD 5.0+. SUSE Linux Enterprise Server и Debian Squeeze проблеме не подвержены. В качестве запасного варианта отмечается возможность пересборки OpenSSL с опцией "-DOPENSSL_NO_HEARTBEATS", отключающей TLS-расширение heartbeat. Для проверки серверных систем на предмет наличия уязвимости подготовлены специальные online-сервисы.

  1. Главная ссылка к новости (http://seclists.org/fulldisclosure/2014/...)
  2. OpenNews: Критическая уязвимость в GnuTLS, существенно влияющая на безопасность дистрибутивов Linux
  3. OpenNews: Новая техника атаки для выявления содержимого отдельных блоков SSL/TLS-соединений
  4. OpenNews: Представлена техника перехвата данных для сжатых соединений TLS и SPDY
  5. OpenNews: Новая техника атаки для выявления содержимого отдельных блоков SSL/TLS-соединений
  6. OpenNews: Итоговые результаты расследования взлома сайта OpenSSL
Тип: Интересно / Проблемы безопасности
Ключевые слова: ssl, tls, openssl, (найти похожие документы)
При перепечатке указание ссылки на opennet.ru обязательно
Реклама
id=adv>
  1.1, Аноним, 11:03, 08/04/2014 [ответить] [смотреть все]    [к модератору] +41 +/
ай да АНБ, ай да молодцы. это просто 5+
 
  2.43, rshadow, 13:56, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]     [к модератору] +2 +/
Бритва херлона Никогда не приписывайте злому умыслу то, что вполне можно объясн... весь текст скрыт [показать] [показать ветку]
 
  3.56, Аноним, 14:12, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +2 +/
Ну SSL и TLS врядли по глупости были напроектирвоаны столь навороченными что ими... весь текст скрыт [показать]
 
3.95, Аноним, 16:07, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  
+1 +/
а утверждения Херлона, типа, истина в последней инстанции, как суждения Папы Рим... весь текст скрыт [показать]
 
3.116, Аноним, 18:26, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +2 +/
Однако, про дружбу де Раадта с АНБ забывать не стоит ... весь текст скрыт [показать]
 
  4.168, Аноним, 04:01, 09/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +1 +/
Он наоборот отказался с ними дружить, за что и был лишен гранта в 2M А тебе... весь текст скрыт [показать]
 
  5.169, Аноним, 04:03, 09/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Модератор - оба утверждения ложь, либо оба - правда Так чтааа ... весь текст скрыт [показать]
 

1.2, бедный буратино, 11:12, 08/04/2014 [ответить] [смотреть все]     [к модератору]  –9 +/
всегда говорил, что https не нужно, не нужно, не нужно ... весь текст скрыт [показать]
 
  2.4, Аноним, 11:16, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]     [к модератору]  +1 +/
Если в твоей системе с рождения присутствует уязвимость, то вся паранойя вокруг ... весь текст скрыт [показать] [показать ветку]
 
  3.10, бедный буратино, 11:46, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –2 +/
извините, но в вашей ахинее я не вижу причинно-следственных связей... весь текст скрыт [показать]
 
  4.51, Аноним, 14:03, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +2 +/
У меня для вас плохая новость ... весь текст скрыт [показать]
 
3.134, Аноним, 21:31, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +2 +/
Ты хоть сам понял что ты написал ... весь текст скрыт [показать]
 
  4.171, Аноним, 06:49, 09/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
А ты хоть понял, с чем связался ... весь текст скрыт [показать]
 
3.143, Аноним, 22:07, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
А что не так с компилятором Он собран майнтайнерами системы, на пакете цифровая... весь текст скрыт [показать]
 
  4.170, Аноним, 06:43, 09/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
А компилятор чем собирать будет маинтейнер, он же из воздуха не возьмётся Нужен... весь текст скрыт [показать]
 
  5.172, Аноним, 09:02, 09/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +1 +/
Внезапно, до того как появились компиляторы, был мир где компиляторов не было Э... весь текст скрыт [показать]
 
  6.176, Аноним, 10:57, 09/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –2 +/
Твоё воображение ничего общего с реальностью не имеет ... весь текст скрыт [показать]
 
    8.187, Аноним, 12:32, 09/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Д артаньян Столлман... весь текст скрыт [показать]
 
7.179, Аноним, 11:46, 09/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Д Артаньян, залогинься ... весь текст скрыт [показать]
 3.152, Петросян, 22:48, 08/04/2014 [^] [ответить] [смотреть все]    [к модератору]  –1 +/ Родился на улице Герцена, в гастрономе № 22. Известный экономист, по призванию своему — библиотекарь. В народе — колхозник. В магазине — продавец. В экономике, так сказать, необходим. Это, так сказать, система… эээ… в составе 120 единиц. Фотографируете Мурманский полуостров и получаете te-le-fun-ken. И бухгалтер работает по другой линии — по линии библиотекаря. Потому что не воздух будет, академик будет!
 2.19, Адекват, 12:02, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]     [к модератору]  +1 +/
Да, особенно на всяких сбербанк-онлайнах, там пароли нужно вообще открытым текст... весь текст скрыт [показать] [показать ветку]
 
  3.29, 1, 12:36, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –7 +/
Шифровать ДО передачи по инету ... весь текст скрыт [показать]
 
  4.40, Анонем, 13:44, 08/04/2014 [^] [ответить] [смотреть все]    [к модератору]  +10 +/
А ты думаешь, как ssl работает?
 
  5.119, Аноним, 18:53, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
еще раз зашифровать ... весь текст скрыт [показать]
 
4.63, Аноним, 14:28, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +5 +/
MS-виндоботы поражают воображение ... весь текст скрыт [показать]
 3.31, t28, 12:40, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –5 +/
Раньше на всяких Клиент-банках и без ССЛ-я всё как-то работало, прикинь ... весь текст скрыт [показать]
 
  4.34, XoRe, 12:43, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +3 +/
До червя морриса вообще о многих вещах не парились, прикинь ... весь текст скрыт [показать]
 
4.105, ваы, 16:49, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
ага, потому что было отдельное диалап подключение для каждого банка ... весь текст скрыт [показать]
 3.33, arisu, 12:42, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +2 +/
а, то есть твой говнобанк вот так и валит нешифрованый поток в соединение, надея... весь текст скрыт [показать]
 
  4.35, Адекват, 12:46, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –2 +/
А что, кто-то делает по другому А именно - вообще не использует https, прин... весь текст скрыт [показать]
 
  5.36, arisu, 12:54, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –2 +/
да, все нормальные люди шифруют сами, секретными ключами впрочем, ты с домохозя... весь текст скрыт [показать]
 
  6.58, Адекват, 14:15, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –1 +/
И какими же средствами обеспечивается защита соединения В ручную что-ли каж... весь текст скрыт [показать]
 
  7.64, balda, 14:28, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Примерно так Только нет наружу соединения с таким https Шифровка дешифровка ид... весь текст скрыт [показать]
 
  8.70, Аноним, 14:49, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +1 +/
А вот видимо и сотрудники банков появились, видимо При том ник сам за себя гово... весь текст скрыт [показать]
 
  9.73, Адекват, 14:59, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Мне одно не понятно - банк как сможет расшифровать ваши данные Нет, если конеч... весь текст скрыт [показать]
 
  10.87, qux, 15:38, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Генеришь ключи, относишь на бумажечке Покупать ничего не нужно Есть онлайн-вер... весь текст скрыт [показать]
 
  11.122, Василий, 19:26, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –1 +/
Ааа, это тот банк та система , где ключи ещё должны лежать на диске A или B ... весь текст скрыт [показать]
 
  12.127, Аноним, 20:27, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Сейчас в этих банках смарткарты и токены под собственным брендом, а линукс и мак... весь текст скрыт [показать]
 
10.92, Аноним, 16:00, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –1 +/
Ох, еще один питекантроп Блин, народ, куда у нас модно посылать питекантропов, ... весь текст скрыт [показать]
 7.78, arisu, 15:16, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
для тебя, кретина, ещё раз повторяю соединение защищать не надо дальше повто... весь текст скрыт [показать]
 
  8.93, Аноним, 16:02, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
К сожалению, эти люди иной раз лезут в области где подразумевается передача ценн... весь текст скрыт [показать]
 
  9.94, arisu, 16:06, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
это да причём они даже не понимают, насколько они ничего не понимают эффект Да... весь текст скрыт [показать]
 
6.97, Аноним, 16:09, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +1 +/
про крутые слова смешно читать от человека, постоянно использующего спич ... весь текст скрыт [показать]
 
  7.98, arisu, 16:12, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +1 +/
а дуракам всегда смешно потому что дураки ... весь текст скрыт [показать]
 
5.37, arisu, 12:55, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –6 +/
p s кретин, защищать надо не 171 соединение 187 , а данные иди, осмысливай ... весь текст скрыт [показать]
 
  6.39, Stellarwind, 13:43, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +1 +/
Если соединение скомпрометировано, то данным можно тоже помахать ручкой, т к по... весь текст скрыт [показать]
 
  7.42, arisu, 13:56, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
оно не 171 если 187 , оно однозначно https 8212 иллюзия безопасности, и п... весь текст скрыт [показать]
 
  8.59, Адекват, 14:18, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –1 +/
Если пользоваться самоподписаными сертификатами, или же давай пруф на статью кот... весь текст скрыт [показать]
 
  9.72, Аноним, 14:54, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +2 +/
Гуглить про comodohacker, DigiNotar и какими сайтами умел представляться этот ха... весь текст скрыт [показать]
 
  10.77, Адекват, 15:15, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –4 +/
Но сейчас то никто его трюк повторить не сможет, так ... весь текст скрыт [показать]
 
  11.96, Аноним, 16:09, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +4 +/
Нет, не так А что принципиально изменилось с того момента Не вижу что помешает... весь текст скрыт [показать]
 
11.107, masudi, 17:00, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
откуда у тебя такие выводы ... весь текст скрыт [показать]
 10.109, Anonym2, 17:18, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –3 +/
Это не проблема HTTPS Проблема в некоторых CA Кто-нибудь например может выдава... весь текст скрыт [показать]
 
  11.117, Аноним, 18:30, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Как бы это сказать Толпа прихлебателей, которым либа браузер по дефолту до... весь текст скрыт [показать]
 
10.120, Аноним, 19:02, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Кем доказано, что речь идет про го но ... весь текст скрыт [показать]
 10.130, Аноним, 21:10, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Так проблема-то не в HTTPS а инфраструктуре CA ... весь текст скрыт [показать]
 
  11.146, Аноним, 22:26, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +1 +/
Проблем несколько 1 PKI - лохоразвод Сколь-нибудь надежно это может быть толь... весь текст скрыт [показать]
 
7.145, Аноним, 22:16, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Вообще-то, криптография ставит своей задачей в том числе и передачу данных по не... весь текст скрыт [показать]
 6.45, crypt, 13:57, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
сложно сказать, кто тут более кретин множество сетевых атак как раз строится на... весь текст скрыт [показать]
 
  7.48, arisu, 14:00, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –2 +/
любая идея защищать соединиение , а не данные 8212 придумана идиотами для ... весь текст скрыт [показать]
 
  8.55, Аноним, 14:10, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –3 +/
Какое хорошее описание OpenSSL и тех кто им пользуется ... весь текст скрыт [показать]
 
  9.81, arisu, 15:21, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
хинт OpenSSL 8212 это ещё и библиотека алгоритмов шифрования которые можно ... весь текст скрыт [показать]
 
  10.99, Аноним, 16:24, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Это да, но понимаешь ли, там SSL TLS есть, и вон то стадо долбодятлов начинает в... весь текст скрыт [показать]
 
8.67, Адекват, 14:34, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
САНИТАРЫ ЕЖ ВАШУ МЕДЬ Кто опять дверь не запер на ключ ... весь текст скрыт [показать]
 
  9.69, Аноним, 14:46, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +1 +/
Нифига себе бомбануло А вроде arisu всего лишь откапитанил, при том довольно бе... весь текст скрыт [показать]
 
  10.82, arisu, 15:22, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –2 +/
оно просто тупое неимоверно из тех, что ковыряют в ухе отвёрткой и удивляются, ... весь текст скрыт [показать]
 
  11.121, Аноним, 19:05, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Человек уверенный в себе и в своих знаниях не нуждается в ругани Пора взрослеть... весь текст скрыт [показать]
 
  12.148, Аноним, 22:38, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Ну я понимаю Кэпа Иногда очень хочется честно сказать кретину что он - кретин ... весь текст скрыт [показать]
 
8.131, Аноним, 21:11, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Соединение и есть данные Просвещайся, неуч ... весь текст скрыт [показать]
 
  9.149, Аноним, 22:40, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Совершенно не обязательно Могут быть и служебные сущности, например Но грамоте... весь текст скрыт [показать]
 
4.68, Аноним, 14:45, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Еще более плохая новость обезьяны которые пишут этот банковский крап обычно не ... весь текст скрыт [показать]
 
  5.83, arisu, 15:23, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
это совершенно не повод считать https какой-то там 171 защитой 187 ... весь текст скрыт [показать]
 
  6.101, Аноним, 16:30, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Спасибо, я в курсе свойств SSL TLS и мне они не нравятся За все это я и не жалу... весь текст скрыт [показать]
 
  7.136, Аноним, 21:55, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –2 +/
Пожалуйста, предложи криптографический casino-grade как на колесах рулетки пишу... весь текст скрыт [показать]
 
  8.151, Аноним, 22:44, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +1 +/
С казино известно много приколов Как минимум одному гражданину запретили вход в... весь текст скрыт [показать]
 
3.57, Аноним, 14:14, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Ну передашь ты его шифрованным, только окажется что это был не тот сервер Но ни... весь текст скрыт [показать]
 
  4.71, Адекват, 14:53, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +1 +/
Так, допустим некто организовал атаку M-I-M и стал через себя траффик пропускать... весь текст скрыт [показать]
 
  5.74, Аноним, 15:06, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Зачем Он ставит свой сервак, который я, типа, банковский сервер SSL делается... весь текст скрыт [показать]
 
  6.89, Адекват, 15:50, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Щас попробую вникнуть 1 Мне отравили DNS, и для меня валидным ip банка теперь ... весь текст скрыт [показать]
 
  7.104, Аноним, 16:44, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
За кадром слышен натужный скрип мозга питекантропа электричество магнетрон ... весь текст скрыт [показать]
 
  8.138, Аноним, 21:57, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
gt оверквотинг удален Плз, не надо столько громких слов Объясни этому баклану... весь текст скрыт [показать]
 
  9.153, Аноним, 22:57, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Это прежде всего лохотрон, который претендует на то что он типа, аутентификация,... весь текст скрыт [показать]
 
2.167, Sabakwaka, 02:38, 09/04/2014 [^] [ответить] [смотреть все] [показать ветку]    [к модератору]  –1 +/ Отключи heartbeat.
И всё.
 
1.3, Аноним, 11:15, 08/04/2014 [ответить] [смотреть все]     [к модератору]  +2 +/
http www linuxtag org 2012 en program speaker-features featured article featur... весь текст скрыт [показать]
  1.5, Аноним, 11:20, 08/04/2014 [ответить] [смотреть все]     [к модератору]  +1 +/
А сколько еще неизвестных общественности критических уязвимостей Бояться надо н... весь текст скрыт [показать]
 
  2.11, Нанобот, 11:47, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]     [к модератору]  +1 +/
 
  3.53, Аноним, 14:04, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
И правильно, ведь всё знать невозможно и повод для страха есть всегда ... весь текст скрыт [показать]
 
  4.161, Анонимоус, 23:57, 08/04/2014 [^] [ответить] [смотреть все]    [к модератору]  +/
А чё бояться то? Ну есть язвы, ну может у тебя давно бэкдор, мир не без "добрых" людей, и что с того? Нужно не бояться, а думать о способах обезопасить компьютер. Или читать литературу по теме. Когда-нибудь, да научишься в безопасности разбираться.
 
  5.164, Аноним, 01:16, 09/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
А бояться надо того что чего-то не учел и не заметил, разумеется То-есть, собст... весь текст скрыт [показать]
 
1.6, Аноним, 11:24, 08/04/2014 [ответить] [смотреть все]     [к модератору]  –1 +/
Вот за что-то такое мы и любим nacl от дяденьки берштейна Хорошее средство от о... весь текст скрыт [показать]
 
  2.7, arisu, 11:28, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]     [к модератору]  +2 +/
рад за вас где можно скачать ваши патчи к софту, который использует OpenSSL, да... весь текст скрыт [показать] [показать ветку]
 
  3.21, anonymous, 12:06, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –3 +/
Нельзя Пакет станет популярным, это вредит неуязвимости продукта ... весь текст скрыт [показать]
 
  4.23, Аноним, 12:14, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +1 +/
В SSL TLS и OpenSSL как реализации вредят совсем иные вещи, как то пи цкая нав... весь текст скрыт [показать]
 
4.24, e.slezhuk, 12:15, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +1 +/
Синдром неуловимого Джо ... весь текст скрыт [показать]
 
  5.26, Аноним, 12:17, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Более того, хорошая криптография проверки толпой народа не боится ... весь текст скрыт [показать]
 
3.22, Аноним, 12:12, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –1 +/
Нигде OpenSSL и SSL TLS вообще сделаны так, что секурно ими пользоваться може... весь текст скрыт [показать]
 
  4.30, arisu, 12:40, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +3 +/
мягко намекаю, что уже есть куча софта, которая использует OpenSSL поскольку ... весь текст скрыт [показать]
 
  5.41, Аноним, 13:47, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
При том большинство оного по факту использует сие в виде декоративной бесполезно... весь текст скрыт [показать]
 
  6.44, arisu, 13:57, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +1 +/
ок где взять замены всему софту, который использует OpenSSL, от любителей nacl ... весь текст скрыт [показать]
 
  7.49, Аноним, 14:01, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
У меня полный аэродром самолетов выработавших свой ресурс Что же мне с ними де... весь текст скрыт [показать]
 
  8.124, Василий, 20:00, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –1 +/
Есть распространённые и мощные БД, есть веб-серверы, есть куча другого софта, ис... весь текст скрыт [показать]
 
  9.154, Аноним, 23:08, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Ну я и говорю - полон аэродром стремных самолетов с гнилыми внутренностями, кото... весь текст скрыт [показать]
 
8.183, Sem, 12:05, 09/04/2014 [^] [ответить] [смотреть все]    [к модератору]  +/ >> меня не интересует «отличная библиотека в вакууме», меня интересует рабочий
>> софт. как это понятней пояснить?
> "У меня полный аэродром самолетов выработавших свой ресурс! Что же мне с
> ними делать?"
> Ну я понимаю что ситуация досадная, вроде самолеты совсем как настоящие, даже
> летают в принципе, только пользоваться очень стремно. Ну вот и тут
> как-то так же. Софт есть. Только рабочий он по какому угодно
> критерию. Кроме защиты данных через SSLное шифрование. Уповать на эту защиту
> - себе дороже. Развалится в воздухе.

Угу. Давайте запретим авиацию как класс, пока не создадут новые самолеты.
Есть вещи, которые сделать просто не реально.

 6.47, arisu, 13:59, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +1 +/
лететь-то на чём, а лететь уже надо есть замена нет только вопли, что 17... весь текст скрыт [показать]
 
  7.50, Аноним, 14:02, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
В зависимости от - я считаю что самолета нет, или конструирую новый Лететь на э... весь текст скрыт [показать]
 
  8.54, arisu, 14:05, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +1 +/
ещё раз повторяю лететь надо уже 171 поехали, потом заведёшь 187 , ага ... весь текст скрыт [показать]
 
  9.61, Аноним, 14:22, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +1 +/
Ну раз надо - лети Правда у тебя интересно получается Если в дебиане лажа - он... весь текст скрыт [показать]
 
  10.75, arisu, 15:10, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +1 +/
я что-то говорил про то, что в чём не надо бредить, ты перечитай мои комментари... весь текст скрыт [показать]
 
  11.106, Аноним, 16:57, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Естественно Я не могу запатчить парой заплаток фюзеляж, который по всей поверхн... весь текст скрыт [показать]
 
10.76, arisu, 15:14, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
если всё ещё не дошло от воплей 171 а соль лучше 187 существующий софт с ... весь текст скрыт [показать]
 
  11.108, Аноним, 17:05, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Да, от того факта что я сказал что на самолетах с фюзеляжем выработавшим свой ре... весь текст скрыт [показать]
 
  12.140, Аноним, 22:00, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +1 +/
gt оверквотинг удален Откажись от уютненькой мордокниги фконтактика, связи - ... весь текст скрыт [показать]
 
  13.156, Аноним, 23:21, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Сложно Ведь я ими и не начинал пользоваться Поэтому отказаться от них будет пр... весь текст скрыт [показать]
 
  14.166, angra, 02:32, 09/04/2014 [^] [ответить] [смотреть все]    [к модератору]  +/
Это "декоративное" секурити защищает в 99% случаев. От теоретического знания общего плана взлома, до его практической реализации очень далеко. Пароли словарным перебором ломают куда чаще. А абсолютной защиты вообще в принципе не существует. Так что с учетом цены https очень даже хорошая защита.
 
  15.174, Аноним, 10:36, 09/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Это декоративное секурити защищает лишь до тех пор, пока никто не озадачиваетс... весь текст скрыт [показать]
 
  16.189, Аноним, 12:47, 09/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Танковая броня не защищает от прямого попадания ядерного заряда Ох печалька, уж... весь текст скрыт [показать]
 
6.111, Anonym2, 17:55, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
A deterministic random-bit generator is seeded by the output from the condition... весь текст скрыт [показать]
 
1.14, Нанобот, 11:56, 08/04/2014 [ответить] [смотреть все]    [к модератору]  –1 +/ openssh тоже в группе риска?
  1.16, Аноним, 12:01, 08/04/2014 [ответить] [смотреть все]     [к модератору]  +/
Что-то на этом сервисе все чеки проходят как ОК в отличие от http filippo io H... весь текст скрыт [показать]
 
  2.25, Аноним, 12:16, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]     [к модератору]  +1 +/
Эм особо предприимчивые господа уже коллекционируют пароли и ключи на своих о... весь текст скрыт [показать] [показать ветку]
 
1.18, Аноним, 12:01, 08/04/2014 [ответить] [смотреть все]     [к модератору]  +/
Эксплойт то где А то развели шум из-за ничего Где гарантия что в этих 64 кил... весь текст скрыт [показать]
 
  2.38, XoRe, 13:31, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]     [к модератору]  +/
 
  3.46, Аноним, 13:58, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Да, вон там как раз пара сервисов уже Для проверки, так сказать, сколько ключей... весь текст скрыт [показать]
 
2.103, Нанобот, 16:42, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]     [к модератору]  –1 +/
ничё себе чувак губу раскатал, гарантии ему нужны Хочешь гарантию - покупай мик... весь текст скрыт [показать] [показать ветку]
 
1.27, Наивный чукотский юноша, 12:19, 08/04/2014 [ответить] [смотреть все]    [к модератору]  +/ Ещё увидел в рекомендациях заново по-возможности сгенерировать сертификаты.
 
  2.158, Аноним, 23:24, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]     [к модератору]  +/
Логично Потому что если у тебя тихой сапой уперли пароли и ключи - однажды на с... весь текст скрыт [показать] [показать ветку]
 
1.52, Аноним, 14:04, 08/04/2014 [ответить] [смотреть все]     [к модератору]  –1 +/
А что случится после того как злоумышленник вытянет из сервера закрытый ключ ... весь текст скрыт [показать]
 
  2.142, Аноним, 22:02, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]     [к модератору]  +1 +/
 
  3.190, Аноним, 14:13, 09/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
это было бы круто, но я этого не увижу поскольку оргмеры рулят, потому и спрашив... весь текст скрыт [показать]
 
1.60, Аноним, 14:20, 08/04/2014 [ответить] [смотреть все]     [к модератору]  +/
ssh -V OpenSSH_5 5p1 Debian-6 squeeze4, OpenSSL 0 9 8o 01 Jun 2010 Цифродроч... весь текст скрыт [показать]
 
  2.62, Аноним, 14:25, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]     [к модератору]  +1 +/
Ты айпишник сказать забыл, чтобы мы могли посмотреть сколько ключей и паролей уд... весь текст скрыт [показать] [показать ветку]
 
  3.86, ryoken, 15:35, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  –1 +/
Тебя посодют, а ты не воруй ... весь текст скрыт [показать]
 
  4.118, Аноним, 18:37, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Чего-то не похоже на айпишник ... весь текст скрыт [показать]
 
3.162, Michael Shigorin, 00:26, 09/04/2014 [^] [ответить] [смотреть все]    [к модератору]  +/ > Ты айпишник сказать забыл, чтобы мы могли посмотреть сколько ключей и паролей
> удастся утянуть.

Придётся подсказать специалисту, который внимательно прочитал CVE -- 127.14.98.241.  Да, md5sum правильного ответа при вводных из #60 -- cfcd208495d565ef66e7dff9f98764da.

image  
  4.175, Аноним, 10:42, 09/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Надеетесь что все вокруг глупые и не умеют считать битовые маски ... весь текст скрыт [показать]
 
1.88, Аноним, 15:43, 08/04/2014 [ответить] [смотреть все]     [к модератору]  +/
В nginx под centos используется статическая линковка с openssl Брали из репозит... весь текст скрыт [показать]
  1.90, хрюкотающий зелюк, 15:50, 08/04/2014 [ответить] [смотреть все]    [к модератору]  +1 +/ Ой не верю что программист этого дела типа случайно забыл там проверку поставить...
  1.110, Аноним, 17:53, 08/04/2014 [ответить] [смотреть все]     [к модератору]  –1 +/
Вообще-то из FreeBSD только 10 0 уязвимо root as2 uname -r 9 2-RELEASE-p3... весь текст скрыт [показать]
  1.112, Аноним, 18:01, 08/04/2014 [ответить] [смотреть все]     [к модератору]  +/
Я просто оставлю это здесь http possible lv tools hb domain ssl com http p... весь текст скрыт [показать]
 
  2.123, Аноним, 19:45, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]     [к модератору]  +/
 
  3.133, Аноним, 21:17, 08/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Не думаю что коме-то кто даже не осилил выучить международный язык понадобится м... весь текст скрыт [показать]
 
1.113, Аноним, 18:14, 08/04/2014 [ответить] [смотреть все]     [к модератору]  +/
https github com openssl openssl commit 4817504d069b4c5082161b02a22116ad75f822... весь текст скрыт [показать]
  1.125, Нанобот, 20:13, 08/04/2014 [ответить] [смотреть все]    [к модератору]  –1 +/ если я правильно понял, этот баг будет проявляться только через ssl-соединения, созданные штатными средствами openssl.
если так, то openssh не подвержен уязвимости, openvpn поверх udp - тоже
  1.137, Аноним, 21:57, 08/04/2014 [ответить] [смотреть все]     [к модератору]  –2 +/
Вот что происходит, когда для разработки криптографических библиотек используетс... весь текст скрыт [показать]
 
  2.147, Аноним, 22:33, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]     [к модератору]  +/
 
2.159, Аноним, 23:27, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]     [к модератору]  +/ 
    4.185, Аноним, 12:08, 09/04/2014 [^] [ответить] [смотреть все]     [к модератору]  +/
Ты не напишешь ничего безопасного ни на каком ЯП Ни с какой библиотекой Потому... весь текст скрыт [показать]
 
2.184, Аноним, 12:07, 09/04/2014 [^] [ответить] [смотреть все] [показать ветку]     [к модератору]  +/ 
1.163, Аноним, 01:13, 09/04/2014 [ответить] [смотреть все]     [к модератору]  +/
ухнифигасебе щас еще тестят StrongSWAN и либресван, есть шансы что там - тоже... весь текст скрыт [показать]
  1.181, iZEN, 11:53, 09/04/2014 [ответить] [смотреть все]    [к модератору]  +/ Во FreeBSD закрыли этот ваш баг в SSL:
http://www.freebsd.org/security/advisories/FreeBSD-SA-14:06.openssl.asc
Расстраиваться не стоит.
В OpenSSL обнаружена критическая уязвимость, которая может привести к утечке закрытых ключей  
  2.186, Аноним, 12:10, 09/04/2014 [^] [ответить] [смотреть все] [показать ветку]     [к модератору]  +/
Вот только стоит помнить что клиент мог получить кусок памяти сервера, а сервер ... весь текст скрыт [показать] [показать ветку]
 

Ваш комментарий  

Read more http://www.opennet.ru/opennews/art.shtml?num=39518

 
Интересная статья? Поделись ей с другими:

bottom

 

Unreal Commander PfSense по русски Яндекс.Метрика