The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги ]

08.04.2014 10:49  В OpenSSL обнаружена критическая уязвимость, которая может привести к утечке закрытых ключей

В OpenSSL выявлена одна из самых серьёзных уязвимостей (CVE-2014-0160) в истории проекта, затрагивающая огромное число сайтов, серверных систем и клиентских приложений, использующих OpenSSL 1.0.1 для организации обмена данными через защищённое соединение. Суть проблемы проявляется в возможности доступа к 64Кб памяти клиентского или серверного процесса с которым установлено шифрованное соединение.

Практическая опасность уязвимости связана с тем, что в подверженной утечке области памяти могут размещаться закрытые ключи или пароли доступа, которые потенциально могут быть извлечены удалённым злоумышленником. При удачном проведении атаки злоумышленник может получить содержимое ключа, используемого для организации шифрованного доступа к серверу, и организовать перехват на транзитном узле защищённого трафика. Также не исключена утечка паролей, идентификаторов сессий и других закрытых данных клиентских приложений при попытке их соединения с подконтрольными злоумышленникам серверными системами.

Причиной проблемы является отсутствие проверки выхода за допустимые границы в коде реализации TLS-расширения heartbeat (RFC 6520), что позволяет инициировать отправку удалённой стороне до 64Кб данных из области за границей текущего буфера. При этом возможна отправка произвольных 64Кб данных, а не только примыкающих к границе буфера (путем повторения запросов атакующий может шаг за шагом прочитать всё содержимое памяти процесса). По некоторым оценкам проблема охватывает до половины поддерживающих защищённое соединение серверных систем в Сети, включая собранные с OpenSSL 1.0.1 web-серверы (Apache httpd, nginx), почтовые серверы, XMPP-серверы, VPN-системы, шлюзы и скрытые сервисы анонимной сети Tor.

Связанная с атакой активность не проявляется в серверных логах, что затрудняет выявление фактов эксплуатации уязвимости. Возможность создания рабочего эксплоита для извлечения ключей безопасности без оставления следов в логе подтверждена исследователями из компаний Google и Codenomicon, выявивших уязвимость. В связи с тем, что проблема присутствует в коде OpenSSL уже более двух лет и, при этом, невозможно отследить по логу уже совершённые атаки, помимо установки обновления пользователям рекомендуется поменять SSL-сертификаты, ключи доступа и пароли. Для выявления возможного применения атаки в диком виде продвигается инициатива по развёртыванию сети подставных honeypot-серверов, фиксирующих попытки эксплуатации уязвимости.

Проблема проявляется только в актуальной стабильной ветке OpenSSL 1.0.1 и тестовых выпусках 1.0.2, прошлые стабильные ветки 0.9.x и 1.0.0x уязвимости не подвержены. Системы, использующие выпуски OpenSSL 1.0.1[abcdef], требуют срочного обновления. Уязвимость устранена в выпуске OpenSSL 1.0.1g. Обновления пакетов уже выпущены для RHEL 6, CentOS 6, Fedora 19/21, FreeBSD 8.4+, Ubuntu 12.04-13.10, Debian wheezy/jessie/sid, ALT Linux, CRUX, Mageia, CRUX, OpenBSD 5.3+. Проблема пока не исправлена в OpenSUSE 12.2+, NetBSD 5.0+. SUSE Linux Enterprise Server и Debian Squeeze проблеме не подвержены. В качестве запасного варианта отмечается возможность пересборки OpenSSL с опцией "-DOPENSSL_NO_HEARTBEATS", отключающей TLS-расширение heartbeat. Для проверки серверных систем на предмет наличия уязвимости подготовлены специальные online-сервисы.

  1. Главная ссылка к новости (http://seclists.org/fulldisclo...)
  2. OpenNews: Критическая уязвимость в GnuTLS, существенно влияющая на безопасность дистрибутивов Linux
  3. OpenNews: Новая техника атаки для выявления содержимого отдельных блоков SSL/TLS-соединений
  4. OpenNews: Представлена техника перехвата данных для сжатых соединений TLS и SPDY
  5. OpenNews: Новая техника атаки для выявления содержимого отдельных блоков SSL/TLS-соединений
  6. OpenNews: Итоговые результаты расследования взлома сайта OpenSSL
Лицензия: CC-BY
Тип: Интересно / Проблемы безопасности
Ключевые слова: ssl, tls, openssl
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение Линейный вид | Ajax | Показать все | RSS
 
  • 1.1, Аноним, 11:03, 08/04/2014 [ответить] [смотреть все]
  • +44 +/
    ай да АНБ, ай да молодцы. это просто 5+
     
     
  • 2.43, rshadow, 13:56, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]
  • +1 +/
    Бритва херлона Никогда не приписывайте злому умыслу то, что вполне можно объясн... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.56, Аноним, 14:12, 08/04/2014 [^] [ответить] [смотреть все]  
  • +2 +/
    Ну SSL и TLS врядли по глупости были напроектирвоаны столь навороченными что ими... весь текст скрыт [показать]
     
  • 3.95, Аноним, 16:07, 08/04/2014 [^] [ответить] [смотреть все]  
  • +2 +/
    а утверждения Херлона, типа, истина в последней инстанции, как суждения Папы Рим... весь текст скрыт [показать]
     
  • 1.2, бедный буратино, 11:12, 08/04/2014 [ответить] [смотреть все]  
  • –11 +/
    всегда говорил, что https не нужно, не нужно, не нужно :)
     
     
  • 2.4, Аноним, 11:16, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    Если в твоей системе с рождения присутствует уязвимость, то вся паранойя вокруг ... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.10, бедный буратино, 11:46, 08/04/2014 [^] [ответить] [смотреть все]  
  • –2 +/
    извините, но в вашей ахинее я не вижу причинно-следственных связей
     
  • 3.143, Аноним, 22:07, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    А что не так с компилятором Он собран майнтайнерами системы, на пакете цифровая... весь текст скрыт [показать]
     
     
  • 4.170, Аноним, 06:43, 09/04/2014 [^] [ответить] [смотреть все]  
  • –1 +/
    А компилятор чем собирать будет маинтейнер, он же из воздуха не возьмётся Нужен... весь текст скрыт [показать]
     
     
  • 5.172, Аноним, 09:02, 09/04/2014 [^] [ответить] [смотреть все]  
  • +2 +/
    Внезапно, до того как появились компиляторы, был мир где компиляторов не было Э... весь текст скрыт [показать]
     
     
  • 6.176, Аноним, 10:57, 09/04/2014 [^] [ответить] [смотреть все]  
  • –3 +/
    Твоё воображение ничего общего с реальностью не имеет.
     
     
  • 7.177, arisu, 11:04, 09/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    только твоё имеет, ага ... весь текст скрыт [показать]
     
     
  • 8.187, Аноним, 12:32, 09/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Д'артаньян != Столлман
     
  • 7.179, Аноним, 11:46, 09/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Д Артаньян, залогинься ... весь текст скрыт [показать]
     
     
  • 8.188, ДАртаньян, 12:33, 09/04/2014 [^] [ответить] [смотреть все]  
  • –1 +/
    Легко, есть проблемы ... весь текст скрыт [показать]
     
     
  • 9.196, Аноним, 02:13, 10/04/2014 [^] [ответить] [смотреть все]  
  • +/
    > Легко, есть проблемы ?

    А где апостроф? Говорят, Д'Артаньян не настоящий!

     
     
  • 10.199, Анонимоус, 08:47, 10/04/2014 [^] [ответить] [смотреть все]  
  • –1 +/
    Возможно здесь от слова Dark, поклонение тёмным силами, всё такое.
     
     
  • 11.218, Dart Anyan, 10:53, 14/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Ничего ты не понял! Это Дарт Аньян! Как Дарт Вейдер или Дарт Сидиус, например.
     
  • 2.19, Адекват, 12:02, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    Да, особенно на всяких сбербанк-онлайнах, там пароли нужно вообще открытым текст... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.29, 1, 12:36, 08/04/2014 [^] [ответить] [смотреть все]  
  • –8 +/
    Шифровать ДО передачи по инету.
     
     
  • 4.40, Анонем, 13:44, 08/04/2014 [^] [ответить] [смотреть все]  
  • +12 +/
    А ты думаешь, как ssl работает?
     
     
  • 5.119, Аноним, 18:53, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    еще раз зашифровать)
     
  • 4.63, Аноним, 14:28, 08/04/2014 [^] [ответить] [смотреть все]  
  • +6 +/
    > Шифровать ДО передачи по инету.

    MS-виндоботы поражают воображение.

     
  • 3.31, t28, 12:40, 08/04/2014 [^] [ответить] [смотреть все]  
  • –5 +/
    Раньше на всяких Клиент-банках и без ССЛ-я всё как-то работало, прикинь ... весь текст скрыт [показать]
     
     
  • 4.34, XoRe, 12:43, 08/04/2014 [^] [ответить] [смотреть все]  
  • +3 +/
    До червя морриса вообще о многих вещах не парились, прикинь ... весь текст скрыт [показать]
     
  • 4.105, ваы, 16:49, 08/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    ага, потому что было отдельное диалап подключение для каждого банка)
     
  • 3.33, arisu, 12:42, 08/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    а, то есть твой говнобанк вот так и валит нешифрованый поток в соединение, надея... весь текст скрыт [показать]
     
     
  • 4.35, Адекват, 12:46, 08/04/2014 [^] [ответить] [смотреть все]  
  • –2 +/
    А что, кто-то делает по другому А именно - вообще не использует https, прин... весь текст скрыт [показать]
     
     
  • 5.36, arisu, 12:54, 08/04/2014 [^] [ответить] [смотреть все]  
  • –2 +/
    да, все нормальные люди шифруют сами, секретными ключами впрочем, ты с домохозя... весь текст скрыт [показать]
     
     
  • 6.58, Адекват, 14:15, 08/04/2014 [^] [ответить] [смотреть все]  
  • –1 +/
    И какими же средствами обеспечивается защита соединения В ручную что-ли каж... весь текст скрыт [показать]
     
     
  • 7.64, balda, 14:28, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Примерно так Только нет наружу соединения с таким https Шифровка дешифровка ид... весь текст скрыт [показать]
     
     
  • 8.70, Аноним, 14:49, 08/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    А вот видимо и сотрудники банков появились, видимо При том ник сам за себя гово... весь текст скрыт [показать]
     
     
  • 9.73, Адекват, 14:59, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Мне одно не понятно - банк как сможет расшифровать ваши данные Нет, если конеч... весь текст скрыт [показать]
     
     
  • 10.87, qux, 15:38, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Генеришь ключи, относишь на бумажечке Покупать ничего не нужно Есть онлайн-вер... весь текст скрыт [показать]
     
     
  • 11.122, Василий, 19:26, 08/04/2014 [^] [ответить] [смотреть все]  
  • –1 +/
    Ааа, это тот банк та система , где ключи ещё должны лежать на диске A или B ... весь текст скрыт [показать]
     
     
  • 12.127, Аноним, 20:27, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Сейчас в этих банках смарткарты и токены под собственным брендом, а линукс и мак... весь текст скрыт [показать]
     
  • 12.155, qux, 23:19, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Нет, лежит где положишь Система кажись эта, тут и демка какая-то есть http w... весь текст скрыт [показать]
     
  • 10.92, Аноним, 16:00, 08/04/2014 [^] [ответить] [смотреть все]  
  • –2 +/
    Ох, еще один питекантроп Блин, народ, куда у нас модно посылать питекантропов, ... весь текст скрыт [показать]
     
     
  • 11.215, Michael Shigorin, 14:52, 11/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Ко криптокантропам, очевидно ... весь текст скрыт [показать]
     
  • 7.78, arisu, 15:16, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    для тебя, кретина, ещё раз повторяю соединение защищать не надо дальше повто... весь текст скрыт [показать]
     
     
  • 8.93, Аноним, 16:02, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    К сожалению, эти люди иной раз лезут в области где подразумевается передача ценн... весь текст скрыт [показать]
     
     
  • 9.94, arisu, 16:06, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    это да причём они даже не понимают, насколько они ничего не понимают эффект Да... весь текст скрыт [показать]
     
  • 6.97, Аноним, 16:09, 08/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    про крутые слова смешно читать от человека, постоянно использующего спич ... весь текст скрыт [показать]
     
     
  • 7.98, arisu, 16:12, 08/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    а дуракам всегда смешно потому что дураки ... весь текст скрыт [показать]
     
  • 5.37, arisu, 12:55, 08/04/2014 [^] [ответить] [смотреть все]  
  • –6 +/
    p s кретин, защищать надо не 171 соединение 187 , а данные иди, осмысливай ... весь текст скрыт [показать]
     
     
  • 6.39, Stellarwind, 13:43, 08/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    Если соединение скомпрометировано, то данным можно тоже помахать ручкой, т к по... весь текст скрыт [показать]
     
     
  • 7.42, arisu, 13:56, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    оно не 171 если 187 , оно однозначно https 8212 иллюзия безопасности, и п... весь текст скрыт [показать]
     
     
  • 8.59, Адекват, 14:18, 08/04/2014 [^] [ответить] [смотреть все]  
  • –1 +/
    Если пользоваться самоподписаными сертификатами, или же давай пруф на статью кот... весь текст скрыт [показать]
     
     
  • 9.72, Аноним, 14:54, 08/04/2014 [^] [ответить] [смотреть все]  
  • +2 +/
    Гуглить про comodohacker, DigiNotar и какими сайтами умел представляться этот ха... весь текст скрыт [показать]
     
     
  • 10.77, Адекват, 15:15, 08/04/2014 [^] [ответить] [смотреть все]  
  • –4 +/
    Но сейчас то никто его трюк повторить не сможет, так ... весь текст скрыт [показать]
     
     
  • 11.96, Аноним, 16:09, 08/04/2014 [^] [ответить] [смотреть все]  
  • +4 +/
    Нет, не так А что принципиально изменилось с того момента Не вижу что помешает... весь текст скрыт [показать]
     
  • 11.107, masudi, 17:00, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    откуда у тебя такие выводы ... весь текст скрыт [показать]
     
  • 10.109, Anonym2, 17:18, 08/04/2014 [^] [ответить] [смотреть все]  
  • –3 +/
    Это не проблема HTTPS Проблема в некоторых CA Кто-нибудь например может выдава... весь текст скрыт [показать]
     
     
  • 11.117, Аноним, 18:30, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Как бы это сказать Толпа прихлебателей, которым либа браузер по дефолту до... весь текст скрыт [показать]
     
  • 10.120, Аноним, 19:02, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Кем доказано, что речь идет про го но ... весь текст скрыт [показать]
     
  • 10.130, Аноним, 21:10, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Так проблема-то не в HTTPS а инфраструктуре CA.
     
     
  • 11.146, Аноним, 22:26, 08/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    Проблем несколько 1 PKI - лохоразвод Сколь-нибудь надежно это может быть толь... весь текст скрыт [показать]
     
  • 7.145, Аноним, 22:16, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Вообще-то, криптография ставит своей задачей в том числе и передачу данных по не... весь текст скрыт [показать]
     
  • 6.45, crypt, 13:57, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    сложно сказать, кто тут более кретин множество сетевых атак как раз строится на... весь текст скрыт [показать]
     
     
  • 7.48, arisu, 14:00, 08/04/2014 [^] [ответить] [смотреть все]  
  • –2 +/
    любая идея защищать соединиение , а не данные 8212 придумана идиотами для ... весь текст скрыт [показать]
     
     
  • 8.55, Аноним, 14:10, 08/04/2014 [^] [ответить] [смотреть все]  
  • –3 +/
    Какое хорошее описание OpenSSL и тех кто им пользуется ... весь текст скрыт [показать]
     
     
  • 9.81, arisu, 15:21, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    хинт OpenSSL 8212 это ещё и библиотека алгоритмов шифрования которые можно ... весь текст скрыт [показать]
     
     
  • 10.99, Аноним, 16:24, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Это да, но понимаешь ли, там SSL TLS есть, и вон то стадо долбодятлов начинает в... весь текст скрыт [показать]
     
     
     
    Часть нити удалена модератором

  • 12.148, Аноним, 22:38, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Ну я понимаю Кэпа Иногда очень хочется честно сказать кретину что он - кретин ... весь текст скрыт [показать]
     
  • 8.131, Аноним, 21:11, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Соединение и есть данные Просвещайся, неуч ... весь текст скрыт [показать]
     
     
  • 9.149, Аноним, 22:40, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Совершенно не обязательно Могут быть и служебные сущности, например Но грамоте... весь текст скрыт [показать]
     
  • 4.68, Аноним, 14:45, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Еще более плохая новость обезьяны которые пишут этот банковский крап обычно не ... весь текст скрыт [показать]
     
     
  • 5.83, arisu, 15:23, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    это совершенно не повод считать https какой-то там «защитой».
     
     
  • 6.101, Аноним, 16:30, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Спасибо, я в курсе свойств SSL TLS и мне они не нравятся За все это я и не жалу... весь текст скрыт [показать]
     
     
  • 7.136, Аноним, 21:55, 08/04/2014 [^] [ответить] [смотреть все]  
  • –2 +/
    Пожалуйста, предложи криптографический casino-grade как на колесах рулетки пишу... весь текст скрыт [показать]
     
     
  • 8.151, Аноним, 22:44, 08/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    С казино известно много приколов Как минимум одному гражданину запретили вход в... весь текст скрыт [показать]
     
  • 6.178, Sem, 11:44, 09/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Хватит уже изголяться Ты альтернативу предложи ... весь текст скрыт [показать]
     
  • 3.57, Аноним, 14:14, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Ну передашь ты его шифрованным, только окажется что это был не тот сервер Но ни... весь текст скрыт [показать]
     
     
  • 4.71, Адекват, 14:53, 08/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    Так, допустим некто организовал атаку M-I-M и стал через себя траффик пропускать... весь текст скрыт [показать]
     
     
  • 5.74, Аноним, 15:06, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Зачем Он ставит свой сервак, который я, типа, банковский сервер SSL делается... весь текст скрыт [показать]
     
     
  • 6.89, Адекват, 15:50, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Щас попробую вникнуть 1 Мне отравили DNS, и для меня валидным ip банка теперь ... весь текст скрыт [показать]
     
     
  • 7.104, Аноним, 16:44, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    За кадром слышен натужный скрип мозга питекантропа электричество магнетрон ... весь текст скрыт [показать]
     
     
  • 8.138, Аноним, 21:57, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    gt оверквотинг удален Плз, не надо столько громких слов Объясни этому баклану... весь текст скрыт [показать]
     
     
  • 9.153, Аноним, 22:57, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Это прежде всего лохотрон, который претендует на то что он типа, аутентификация,... весь текст скрыт [показать]
     
  • 2.167, Sabakwaka, 02:38, 09/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • –1 +/
    Отключи heartbeat.
    И всё.
     
  • 1.3, Аноним, 11:15, 08/04/2014 [ответить] [смотреть все]  
  • +2 +/
    http www linuxtag org 2012 en program speaker-features featured article featur... весь текст скрыт [показать]
     
  • 1.5, Аноним, 11:20, 08/04/2014 [ответить] [смотреть все]  
  • +2 +/
    А сколько еще неизвестных общественности критических уязвимостей Бояться надо н... весь текст скрыт [показать]
     
     
  • 2.11, Нанобот, 11:47, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +2 +/
    все параноики так и делают
     
     
  • 3.53, Аноним, 14:04, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    И правильно, ведь всё знать невозможно и повод для страха есть всегда. :)
     
     
  • 4.161, Анонимоус, 23:57, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    А чё бояться то Ну есть язвы, ну может у тебя давно бэкдор, мир не без добрых ... весь текст скрыт [показать]
     
     
  • 5.164, Аноним, 01:16, 09/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    А бояться надо того что чего-то не учел и не заметил, разумеется То-есть, собст... весь текст скрыт [показать]
     
  • 1.6, Аноним, 11:24, 08/04/2014 [ответить] [смотреть все]  
  • –1 +/
    Вот за что-то такое мы и любим nacl от дяденьки берштейна Хорошее средство от о... весь текст скрыт [показать]
     
     
  • 2.7, arisu, 11:28, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +2 +/
    рад за вас где можно скачать ваши патчи к софту, который использует OpenSSL, да... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.21, anonymous, 12:06, 08/04/2014 [^] [ответить] [смотреть все]  
  • –3 +/
    Нельзя. Пакет станет популярным, это вредит неуязвимости продукта.
     
     
  • 4.23, Аноним, 12:14, 08/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    В SSL TLS и OpenSSL как реализации вредят совсем иные вещи, как то пи цкая нав... весь текст скрыт [показать]
     
  • 4.24, e.slezhuk, 12:15, 08/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    Синдром неуловимого Джо?
     
     
  • 5.26, Аноним, 12:17, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Более того, хорошая криптография проверки толпой народа не боится ... весь текст скрыт [показать]
     
  • 3.22, Аноним, 12:12, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Нигде OpenSSL и SSL TLS вообще сделаны так, что секурно ими пользоваться може... весь текст скрыт [показать]
     
     
  • 4.30, arisu, 12:40, 08/04/2014 [^] [ответить] [смотреть все]  
  • +3 +/
    мягко намекаю, что уже есть куча софта, которая использует OpenSSL поскольку ... весь текст скрыт [показать]
     
     
  • 5.41, Аноним, 13:47, 08/04/2014 [^] [ответить] [смотреть все]  
  • +2 +/
    При том большинство оного по факту использует сие в виде декоративной бесполезно... весь текст скрыт [показать]
     
     
  • 6.44, arisu, 13:57, 08/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    ок где взять замены всему софту, который использует OpenSSL, от любителей nacl ... весь текст скрыт [показать]
     
     
  • 7.49, Аноним, 14:01, 08/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    У меня полный аэродром самолетов выработавших свой ресурс Что же мне с ними де... весь текст скрыт [показать]
     
     
  • 8.124, Василий, 20:00, 08/04/2014 [^] [ответить] [смотреть все]  
  • –1 +/
    Есть распространённые и мощные БД, есть веб-серверы, есть куча другого софта, ис... весь текст скрыт [показать]
     
     
  • 9.154, Аноним, 23:08, 08/04/2014 [^] [ответить] [смотреть все]  
  • –1 +/
    Ну я и говорю - полон аэродром стремных самолетов с гнилыми внутренностями, кото... весь текст скрыт [показать]
     
  • 8.183, Sem, 12:05, 09/04/2014 [^] [ответить] [смотреть все]  
  • –1 +/
    Угу Давайте запретим авиацию как класс, пока не создадут новые самолеты Есть в... весь текст скрыт [показать]
     
     
  • 9.197, Аноним, 02:26, 10/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    Декоративное типа, шифрование вредно хотя-бы тем что дает ложную уверенность ч... весь текст скрыт [показать]
     
  • 6.47, arisu, 13:59, 08/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    лететь-то на чём, а лететь уже надо есть замена нет только вопли, что 17... весь текст скрыт [показать]
     
     
  • 7.50, Аноним, 14:02, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    В зависимости от - я считаю что самолета нет, или конструирую новый Лететь на э... весь текст скрыт [показать]
     
     
  • 8.54, arisu, 14:05, 08/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    ещё раз повторяю: лететь надо *уже*. «поехали, потом заведёшь», ага?
     
     
  • 9.61, Аноним, 14:22, 08/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    Ну раз надо - лети Правда у тебя интересно получается Если в дебиане лажа - он... весь текст скрыт [показать]
     
     
  • 10.75, arisu, 15:10, 08/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    я что-то говорил про то, что в чём не надо бредить, ты перечитай мои комментари... весь текст скрыт [показать]
     
     
  • 11.106, Аноним, 16:57, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Естественно Я не могу запатчить парой заплаток фюзеляж, который по всей поверхн... весь текст скрыт [показать]
     
  • 10.76, arisu, 15:14, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    если всё ещё не дошло от воплей 171 а соль лучше 187 существующий софт с ... весь текст скрыт [показать]
     
     
  • 11.108, Аноним, 17:05, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Да, от того факта что я сказал что на самолетах с фюзеляжем выработавшим свой ре... весь текст скрыт [показать]
     
     
  • 12.140, Аноним, 22:00, 08/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    gt оверквотинг удален Откажись от уютненькой мордокниги фконтактика, связи - ... весь текст скрыт [показать]
     
     
  • 13.156, Аноним, 23:21, 08/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    Сложно Ведь я ими и не начинал пользоваться Поэтому отказаться от них будет пр... весь текст скрыт [показать]
     
     
  • 14.166, angra, 02:32, 09/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Это декоративное секурити защищает в 99 случаев От теоретического знания общ... весь текст скрыт [показать]
     
     
  • 15.174, Аноним, 10:36, 09/04/2014 [^] [ответить] [смотреть все]  
  • –1 +/
    Это декоративное секурити защищает лишь до тех пор, пока никто не озадачиваетс... весь текст скрыт [показать]
     
     
  • 16.189, Аноним, 12:47, 09/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    Танковая броня не защищает от прямого попадания ядерного заряда Ох печалька, уж... весь текст скрыт [показать]
     
     
  • 17.198, Аноним, 02:29, 10/04/2014 [^] [ответить] [смотреть все]  
  • +/
    В данном случае броня является фанерной И не защищает даже от пистолетной пули ... весь текст скрыт [показать]
     
     
  • 18.213, ZiNk, 01:16, 11/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    От пистолетной пули не защищает Тебе дать дамп SSL траффика, а ты его расшифруе... весь текст скрыт [показать]
     
  • 6.111, Anonym2, 17:55, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    A deterministic random-bit generator is seeded by the output from the condition... весь текст скрыт [показать]
     
  • 1.14, Нанобот, 11:56, 08/04/2014 [ответить] [смотреть все]  
  • –1 +/
    openssh тоже в группе риска?
     
     
  • 2.15, Аноним, 12:00, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • –1 +/
    Конечно) Смотрите вывод команды и всё будет понятно:

    ssh -version

     
  • 2.17, Аноним, 12:01, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • –1 +/
    http security stackexchange com questions 3424 how-is-openssl-related-to-opens... весь текст скрыт [показать] [показать ветку]
     
  • 2.128, anonymous, 20:41, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    Нет openssh использует openssl, но не tls с heartbeat Так что, sshd не затрону... весь текст скрыт [показать] [показать ветку]
     
  • 1.16, Аноним, 12:01, 08/04/2014 [ответить] [смотреть все]  
  • +/
    Что-то на этом сервисе все чеки проходят как ОК в отличие от http filippo io H... весь текст скрыт [показать]
     
     
  • 2.25, Аноним, 12:16, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +3 +/
    Эм особо предприимчивые господа уже коллекционируют пароли и ключи на своих о... весь текст скрыт [показать] [показать ветку]
     
  • 1.18, Аноним, 12:01, 08/04/2014 [ответить] [смотреть все]  
  • +/
    Эксплойт то где А то развели шум из-за ничего Где гарантия что в этих 64 кил... весь текст скрыт [показать]
     
     
  • 2.38, XoRe, 13:31, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    А вы оставьте здесь адреса своих серверов ... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.46, Аноним, 13:58, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Да, вон там как раз пара сервисов уже Для проверки, так сказать, сколько ключей... весь текст скрыт [показать]
     
  • 2.103, Нанобот, 16:42, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • –1 +/
    ничё себе чувак губу раскатал, гарантии ему нужны Хочешь гарантию - покупай мик... весь текст скрыт [показать] [показать ветку]
     
  • 1.27, Наивный чукотский юноша, 12:19, 08/04/2014 [ответить] [смотреть все]  
  • +/
    Ещё увидел в рекомендациях заново по-возможности сгенерировать сертификаты.
     
     
  • 2.158, Аноним, 23:24, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Логично Потому что если у тебя тихой сапой уперли пароли и ключи - однажды на с... весь текст скрыт [показать] [показать ветку]
     
  • 1.52, Аноним, 14:04, 08/04/2014 [ответить] [смотреть все]  
  • –1 +/
    А что случится после того как злоумышленник вытянет из сервера закрытый ключ?
     
     
  • 2.142, Аноним, 22:02, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    А вот тогда и увидишь, как сервак плавно-нах становится не твоим ... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.190, Аноним, 14:13, 09/04/2014 [^] [ответить] [смотреть все]  
  • +/
    это было бы круто, но я этого не увижу поскольку оргмеры рулят, потому и спрашив... весь текст скрыт [показать]
     
  • 1.60, Аноним, 14:20, 08/04/2014 [ответить] [смотреть все]  
  • +1 +/
    ssh -V OpenSSH_5 5p1 Debian-6 squeeze4, OpenSSL 0 9 8o 01 Jun 2010 Цифродроч... весь текст скрыт [показать]
     
     
  • 2.62, Аноним, 14:25, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    Ты айпишник сказать забыл, чтобы мы могли посмотреть сколько ключей и паролей уд... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.86, ryoken, 15:35, 08/04/2014 [^] [ответить] [смотреть все]  
  • –1 +/
    Тебя посодют, а ты не воруй ... весь текст скрыт [показать]
     
     
  • 4.118, Аноним, 18:37, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    > "Тебя посодют, а ты не воруй".

    Чего-то не похоже на айпишник.

     
  • 3.162, Michael Shigorin, 00:26, 09/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    Придётся подсказать специалисту, который внимательно прочитал CVE -- 127 14 98 2... весь текст скрыт [показать]
     
     
  • 4.175, Аноним, 10:42, 09/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Надеетесь что все вокруг глупые и не умеют считать битовые маски ... весь текст скрыт [показать]
     
     
  • 5.192, Michael Shigorin, 19:17, 09/04/2014 [^] [ответить] [смотреть все]  
  • +/
    >> 127.14.98.241
    > Надеетесь что все

    Отнюдь. :)

     
  • 1.88, Аноним, 15:43, 08/04/2014 [ответить] [смотреть все]  
  • +/
    В nginx под centos используется статическая линковка с openssl Брали из репозит... весь текст скрыт [показать]
     
  • 1.90, хрюкотающий зелюк, 15:50, 08/04/2014 [ответить] [смотреть все]  
  • +1 +/
    Ой не верю что программист этого дела типа случайно забыл там проверку поставить...
     
     
  • 2.91, Аноним, 15:53, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +4 +/
    Гонорарчик :)
     
     
  • 3.150, Аноним, 22:40, 08/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Ну или угрозы. :)
     
  • 1.110, Аноним, 17:53, 08/04/2014 [ответить] [смотреть все]  
  • –1 +/
    Вообще-то из FreeBSD только 10 0 уязвимо root as2 uname -r 9 2-RELEASE-p3... весь текст скрыт [показать]
     
  • 1.113, Аноним, 18:14, 08/04/2014 [ответить] [смотреть все]  
  • +/
    https github com openssl openssl commit 4817504d069b4c5082161b02a22116ad75f822... весь текст скрыт [показать]
     
     
  • 2.114, Аноним, 18:17, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    https www youtube com watch v 3jQoAYRKqhg http phk freebsd dk _downloads FOS... весь текст скрыт [показать] [показать ветку]
     
  • 1.125, Нанобот, 20:13, 08/04/2014 [ответить] [смотреть все]  
  • –1 +/
    если я правильно понял, этот баг будет проявляться только через ssl-соединения, созданные штатными средствами openssl.
    если так, то openssh не подвержен уязвимости, openvpn поверх udp - тоже
     
  • 1.137, Аноним, 21:57, 08/04/2014 [ответить] [смотреть все]  
  • –2 +/
    Вот что происходит, когда для разработки криптографических библиотек используетс... весь текст скрыт [показать]
     
     
  • 2.147, Аноним, 22:33, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Он ведь тоже на си
     
  • 2.159, Аноним, 23:27, 08/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Боюсь, SSL TLS на чем не реализуй, а получишь не секурити а буй ... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.182, iZEN, 11:53, 09/04/2014 [^] [ответить] [смотреть все]  
  • –3 +/
    Кстати, GnuTLS как нельзя лучше подходит под это определение ... весь текст скрыт [показать]
     
     
  • 4.185, Аноним, 12:08, 09/04/2014 [^] [ответить] [смотреть все]  
  • +2 +/
    Ты не напишешь ничего безопасного ни на каком ЯП Ни с какой библиотекой Потому... весь текст скрыт [показать]
     
     
  • 5.193, Ytch, 23:35, 09/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    Ты рискнешь что-нибудь съесть с той грядки Смело ... весь текст скрыт [показать]
     
  • 2.184, Аноним, 12:07, 09/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    А безопасный ЯП типа rust с его garbage collector и прочим вообще позволит сказо... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.194, Аноним, 02:00, 10/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Rust использует линейные типы с отслеживанием скопа вместо сборки мусора Погугл... весь текст скрыт [показать]
     
     
  • 4.200, Аноним, 09:04, 10/04/2014 [^] [ответить] [смотреть все]  
  • +/
    А один хрен Автоматика в таких вещах только мешается и гробит предсказуемость ... весь текст скрыт [показать]
     
     
  • 5.207, arisu, 12:38, 10/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    у тебя руки отпали, ты надеешься на языковую магию ок, возьми D, сделай scoped ... весь текст скрыт [показать]
     
  • 5.212, Аноним, 16:30, 10/04/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    Ну так в чём проблема По выходу из скопа, данные, если уникальный указатель не ... весь текст скрыт [показать]
     
  • 1.163, Аноним, 01:13, 09/04/2014 [ответить] [смотреть все]  
  • +/
    ухнифигасебе щас еще тестят StrongSWAN и либресван, есть шансы что там - тоже... весь текст скрыт [показать]
     
  • 1.181, iZEN, 11:53, 09/04/2014 [ответить] [смотреть все]  
  • –2 +/
    Во FreeBSD закрыли этот ваш баг в SSL:
    http://www.freebsd.org/security/advisories/FreeBSD-SA-14:06.openssl.asc
    Расстраиваться не стоит.
     
     
  • 2.186, Аноним, 12:10, 09/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Вот только стоит помнить что клиент мог получить кусок памяти сервера, а сервер ... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.203, iZEN, 10:26, 10/04/2014 [^] [ответить] [смотреть все]  
  • +/
    Так это стандартная процедура, выполняемая часто и регулярно Залог безопасности... весь текст скрыт [показать]
     
     
  • 4.208, arisu, 12:47, 10/04/2014 [^] [ответить] [смотреть все]  
  • +3 +/
    ну да, у бсдоидов смена ключей 8212 процедура чуть ли не ежедневная а то они... весь текст скрыт [показать]
     
  • 1.195, Аноним, 02:07, 10/04/2014 [ответить] [смотреть все]  
  • +/
    Вброшу-ка сюда пару ссылок Theo de Raadt OpenSSL has exploit mitigation count... весь текст скрыт [показать]
     
     
  • 2.201, Аноним, 09:07, 10/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Отлично, эти умники перехватили malloc но сделать его в виде как ожидается от ... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.211, Xaionaro, 14:47, 10/04/2014 [^] [ответить] [смотреть все]  
  • –2 +/
    Если я правильно понял, то почесались Но потом за-ifdef-или защиту и забыли про... весь текст скрыт [показать]
     
  • 1.202, Мавр, 10:18, 10/04/2014 [ответить] [смотреть все]  
  • +/
    Странное дело - сервис проверки (соединения на его уязвимость) указанный в статье (http://filippo.io/Heartbleed)
    очевидно не справляется с проверкой некоторых программных продуктов - проверил
    свой сервер с апачем - выдаёт, что всё окей (ну да он ещё на squeezе стоит).
    А пытаюсь ему подсунуть порт 443 от pound, что стоит у одной из пачки серверов
    как loadbalancer - говорит "heartbleed: timeout".

    У кого-нибудь есть похожие симптомы || опыт?

     
  • 1.204, Аноним, 12:18, 10/04/2014 [ответить] [смотреть все]  
  • –1 +/
    Спасибо новости, и генту-майнтейнерам, уже запилили ебилд.
     
  • 1.209, Аноним, 13:17, 10/04/2014 [ответить] [смотреть все]  
  • +/
    Following up on the CVE-2014-0160 vulnerability, heartbleed We ve created some ... весь текст скрыт [показать]
     
  • 1.214, billybons2006, 11:07, 11/04/2014 [ответить] [смотреть все]  
  • +1 +/
    Я правильно понимаю, что если на моем сервере openssl 0.9.8e-27.el5_10.1, то данная уязвимость не могла затронуть меня?
     
     
  • 2.216, V, 17:26, 11/04/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    тебя -- точно нет ))
     
     
  • 3.217, billybons2006, 19:18, 11/04/2014 [^] [ответить] [смотреть все]  
  • –1 +/
    Ну и ладушки Centos 5 рулит А ведь совсем недавно обновлялся ... весь текст скрыт [показать]
     

     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:


      Закладки на сайте
      Проследить за страницей
    Created 1996-2017 by Maxim Chirkov  
    ДобавитьРекламаВебмастеруГИД  
    Hosting by Ihor TopList