URL: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 108561
[ Назад ]
Исходное сообщение
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено opennews , 15-Июл-16 12:37 
В операционной системе JUNOS (https://ru.wikipedia.org/wiki/JUNOS), используемой в различных сетевых устройствах компании Juniper, выявлена серьёзная уязвимость (https://kb.juniper.net/InfoCenter/index?page=content&id=JSA1... (CVE-2016-1280), позволяющая обойти проверки по цифровым сертификатам, заверенным удостоверяющими центрами. Суть проблемы в том, что JUNOS воспринимает как корректные любые самоподписанные сертификаты, имя создателя в которых совпадают с корректными сертфикатами, загруженными в JUNOS. Т.е. атакующий может у себя сгенерировать сертификат и использовать его для подключения к корпоративному VPN (IKE/IPsec).

URL: http://arstechnica.com/security/2016/07/crypto-flaw-made-it-.../
Новость: https://www.opennet.ru/opennews/art.shtml?num=44792

Содержание
Сообщения в этом обсуждении
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено Какаянахренразница , 15-Июл-16 12:57 
1. И сотворил Господь Бог решето. И посмотрел сквозь него на свет. И понял, что сотворил фигню. И хотел было аннигилировать его нафиг.
2. Но увидел сие князь Тьмы. И сказал Богу: "Дай прикольнуться". И взял решето из рук господних. И бросил посреди дороги.
3. В те дни шёл ходил той дорогой некий программист. И увидел выброшенное решето. И сказал человек в сердце своём: "Вот, выбросили хорошую вещь, почти новую".
4. И решил программист: "Вот, лежит ничейное решето. Возьму решето, пропатчу и буду пользоваться."
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено Dude , 15-Июл-16 14:11 
Навзрыд!
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено Аноним , 15-Июл-16 16:16 
5. И пользовался до обеда, пока не разогнали всех троих по палатам и газетку с продранными в ней дырками не отобрали.
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено Аноним , 15-Июл-16 17:09 
> И посмотрел сквозь него на свет. И понял, что сотворил фигню. Ибо булки хлеба в том мире росли на деревьях, о муке и надобности ее просеивания (как впрочем и целой кучи других "продуктов") не только пограммисты слыхом не слыхивали )
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено Какаянахренразница , 15-Июл-16 18:00 
> Ибо булки хлеба в том мире росли на деревьях, о муке и
> надобности ее просеивания (как впрочем и целой кучи других
> "продуктов") не только пограммисты слыхом не слыхивали )

Добавим притче реализма.

"И взял программист JunOS. И давай просеивать через неё муку."

"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено omnomnim , 15-Июл-16 19:47 
красава
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено Аноним , 15-Июл-16 13:33 
Дак залепили же уже !
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено Аноним , 15-Июл-16 14:00 
Как можно было так лохануться?
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено Аноним , 15-Июл-16 14:17 
Проприетарщина - такая проприетарщина...
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено rob pike , 15-Июл-16 14:30 
Поэтому у OpenSSL всё вдвойне замечательно - у неё ведь 'Open' даже в названии!
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено Аноним , 15-Июл-16 15:14 
В опенссл пока не додумались проверять валидность серта по названию.
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено Аноним , 15-Июл-16 15:37 
зато как дебиан пропатчил этот openssl... так всему интернет аукается;
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено Аноним , 15-Июл-16 16:21 
> зато как дебиан пропатчил этот openssl... так всему интернет аукается;

Дебиан в отличие от жунипера можно пропатчить самому.

"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено someone else , 15-Июл-16 18:52 
Т.е., если у тебя взломали проприетарную софтину, то виновата компания, а если опенсорсную, то виноват ты сам, т.к. не сделал патч?
Мне нравится этот подход
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено rob pike , 15-Июл-16 19:07 
Всегда виновата компания. Потому что бесчеловечные капиталистические акулы заботятся только о своей прибыли, а на счастье трудового народа им наплевать.
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено Аноним , 15-Июл-16 20:17 
то есть виноват дебиан ?
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено rob pike , 15-Июл-16 21:24 
Нет, Debian - это артель, их всемерно поддерживали Совнарком, ЦК ВКП(б), и даже лично товарищ Сталин, в частности, в своей работе "Экономические проблемы социализма в СССР".
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено Аноним , 15-Июл-16 20:18 
>> зато как дебиан пропатчил этот openssl... так всему интернет аукается;
> Дебиан в отличие от жунипера можно пропатчить самому.

но что-то весь интернет не пропатчил - теперь пол интернета можно просто подобрать ключик к ssh.

"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено Z , 15-Июл-16 18:41 
> Поэтому у OpenSSL всё вдвойне замечательно - у неё ведь 'Open' даже в названии!

А ты давай ссылку на исходники закрытого аналога - мы сравним.

"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено rob pike , 15-Июл-16 19:10 
>> Поэтому у OpenSSL всё вдвойне замечательно - у неё ведь 'Open' даже в названии!
> А ты давай ссылку на исходники закрытого аналога - мы сравним.

https://realtimelogic.com/products/sharkssl/

Договаривайтесь, покупайте лицензию на просмотр исходников, сравнивайте.

"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено Аноним , 16-Июл-16 11:55 
Это не исходники
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено Аноним , 17-Июл-16 19:02 
а если с либрой посравнивать ? там вроде /!%! повыкидывали из кодовой базы.
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено EHLO , 15-Июл-16 19:28 
>Как можно было так лохануться?

Ты про покупателей этого проприетарного растения, или про то что бэкдоры нужно лучше прятать?

"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено Аноним , 15-Июл-16 23:17 
А что про Микротик скажете? Достойная штука??
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено Mail , 16-Июл-16 12:05 
Переусложненная фигня
"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено Аноним , 17-Июл-16 16:16 
> Переусложненная фигня

да не, оно не сложнее какого-нить асуса или длинка из SOHO -коробок, просто там залочено все в дым а в тиках - оставили "крутилок".
если надо больше - для части тиков есть и альтернативный фирмвер(на базе openwrt, ЕМНИП), но это своди смысл покупки тиков к нулю, тк есть платформы "из коробки" более подходящие для такой трансплантации, в тч из числа SOHO-франкенштейнов.


"Возможность обхода проверки сертификатов в продуктах Juniper..."
Отправлено Аноним , 17-Июл-16 16:14 
процы жидкие и памяти мало. но если вам не нужно больше чем тамм поддерживается - то вполне. управляемая и неубиваемая штука.
фирмвер жидкий, тк кроме ядра и нетфильтра, загрузчика - там от линукса мало что осталось. но соотв и поверхность атаки - поменьше.
в общем - на любителя. но если хотите - попробуйте, может понравится. у нас многие даже домой ставят.
но проца - реально мало.(можено конечно младших 1009 и 1016)CCR модели взять, но это совсем Другой ценник и шумность. а 3011 и дороговат и не так быстр как стоит.