Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

В Cryptocat найдена серьёзная уязвимость, позволяющая получи..., opennews (??), 05-Июл-13, (0) [смотреть все] Вот такая вот обратная совместимость , Аноним (-), 17:04 , 05-Июл-13, (1) +2 А потом некоторые удивляются, почему для продакшна лучше брать древности , кото, Crazy Alex (??), 17:21 , 05-Июл-13, (2) // Ну да, прикольно же юзать не фикшеную версию Да и вон дебианщики умудрились и в, Аноним (-), 17:26 , 05-Июл-13, (3) +5 // User294, еще не надоело про одну и ту же проблему многолетней давности рассказыв, Необъективный_ (ok), 17:32 , 05-Июл-13, (4) +3 // Я не злопамятный, но злой и память у меня хорошая Знаешь, мне пришлось резко от, Аноним (-), 19:12 , 05-Июл-13, (9) А причём тут дебиан Это проблема аудита, как и в этой кстати новости написано , Аноним (-), 19:58 , 05-Июл-13, (15) Ну да, конечно У разработчиков, конечно, никаких проблем - это ведь не их косяк, Ytch (ok), 20:16 , 05-Июл-13, (17) Отсюда ниоткуда не следует что это приведет к проблемам Так что оба хороши , Аноним (-), 20:34 , 05-Июл-13, (22) пока где слово подходит для релиза в местах связаных с криптухой - это чуть ч, linux must __RIP__ (?), 21:19 , 05-Июл-13, (30) –2 Не следует, но я не увидел ничего наподобие yes, it s safe to remove them , по, Ytch (ok), 21:55 , 05-Июл-13, (33) В целях дебага код можно корежить любым образом, отрезая любые куски функциональ, Аноним (-), 23:09 , 05-Июл-13, (38) Дебажить криптографию не в том виде каком она будет у юзерей - довольно странный, Аноним (-), 23:13 , 05-Июл-13, (39) –1 С вашей логикой нужно полностью похоронить юнит-тестирование - ведь оно тестируе, Аноним (-), 23:20 , 05-Июл-13, (41) Пиндеж Тестируются участки кода в виде как они будут у юзера А если вы там поо, Аноним (-), 02:10 , 07-Июл-13, (75) Пиндеж У юзера будет _весь_ код целиком, и никак иначе , Аноним (-), 02:54 , 07-Июл-13, (84) –1 И именно поэтому основную массу тестирования имеет смысл проводить когда все соб, Аноним (-), 10:00 , 08-Июл-13, (100) Дебажить все что угодно не в конечном виде это вполне естественный подход Доб, Ytch (ok), 00:50 , 06-Июл-13, (54) Только заканчивается это тем что теоретически все вроде работает а на практике ю, Аноним (-), 02:11 , 07-Июл-13, (76) Ой, а может расскажете как можно найти какую-нибудь нетривиальную ошибку не внос, Ytch (ok), 22:27 , 07-Июл-13, (94) Общего рецепта вообще не существует, в ряде случаев отлов бага может быть весьма, Аноним (-), 10:03 , 08-Июл-13, (101) Да все индивидуально Но даже пропадание бага при включении отладки - это уже ко, Ytch (ok), 21:36 , 08-Июл-13, (104) Зачастую такая ситуация является полным ребусом, на распутывание которого можно , Аноним (-), 15:09 , 09-Июл-13, (107) ой, 171 плавающие 187 баги 8212 это сказка, конечно чем дальше 8212 т, arisu (ok), 15:29 , 09-Июл-13, (111) Вот Ключевое слово - тестировать Тестировать - да, именно то, что будет у юз, Ytch (ok), 21:22 , 09-Июл-13, (112) А вы юзайте старые пофикшеные версии , Аноним (-), 20:00 , 05-Июл-13, (16) // Necromancy is a forbidden art Хотя некоторым может и нравится получать сплойтам, Аноним (-), 20:36 , 05-Июл-13, (23) Нормальные люди фиксы бекпортят А фичи с багами оставляют в новых версиях , Crazy Alex (ok), 20:38 , 05-Июл-13, (25) Ага, и фиксы к старым багам там же оставляют Спасибо, я уже видел как в 3 2 3, Аноним (-), 21:05 , 05-Июл-13, (28) И часто вам нужен USB-3 стек на продакшне Я ж вроде не о домашних машинках гово, Crazy Alex (ok), 23:39 , 05-Июл-13, (42) –1 А чем мой домашний комп хуже продакшна, собственно И почему там допустима какая, Аноним (-), 00:36 , 06-Июл-13, (52) позвольте - читали последную новость о локальный DoS для RedHat так это был бэ, linux must __RIP__ (?), 21:20 , 05-Июл-13, (31) –2 Ну а, бывает Будете спорить, что с новыми фичами багов прилетает больше, чем в , Crazy Alex (ok), 23:40 , 05-Июл-13, (43) Вот это кстати еще большой вопрос где и каких багов больше При бэкпортах обычно, Аноним (-), 00:19 , 06-Июл-13, (51) Как минимум в дебиане - обычно чинят Хотя, конечно, не исключен вариант чего-то, Crazy Alex (ok), 18:41 , 06-Июл-13, (71) Напротив, обычно они чинят только секурити по моим наблюдениям Остальное им в о, Аноним (-), 02:22 , 07-Июл-13, (78) поправочка для продакшна лучше не брать код написанный в бессознательном состоян, Михрютка (ok), 17:58 , 05-Июл-13, (6) // en masse тогда уж Н-да, честные люди не пытались бы отмазаться Случайна ли о, Michael Shigorin (ok), 19:42 , 05-Июл-13, (13) –5 // На самом деле тому кто хоть немного разбирается в криптографии сразу понятно что, Аноним (-), 20:33 , 05-Июл-13, (21) +2 tushe Любопытную версию выдвинул Сысой Свиридович Сидоров для объяснения тайны , Михрютка (ok), 20:38 , 05-Июл-13, (26) –2 touch 233 , sin (??), 21:09 , 05-Июл-13, (29) +2 out , Куяврик (?), 02:24 , 09-Июл-13, (105) Douche Douchebag , Аноним (-), 15:11 , 09-Июл-13, (108) Дадада, всюду враги Бритва Хенлона , Аноним (-), 21:48 , 05-Июл-13, (32) –1 Почему всюду В конкретных местах в общем то , ананим (?), 23:19 , 05-Июл-13, (40) К черту бритвы Элементарная логика в виде вебня опенсорс граждане решили, Аноним (-), 00:06 , 06-Июл-13, (46) Речь о том, что старый код больше гоняли и больше смотрели А в каких его там со, Crazy Alex (ok), 20:40 , 05-Июл-13, (27) // С другой стороны, редкий програмер портит свою программу с течением времени Зат, Аноним (-), 00:18 , 06-Июл-13, (50) все сообщения отправленные с 17 октября 2011 года по 15 июня 2013 года подверже, Аноним (-), 19:37 , 05-Июл-13, (12) +2 это же голимая вебня, наверняка там таких граблей дохерища В нормальной среде н, all_glory_to_the_hypnotoad (ok), 20:28 , 05-Июл-13, (20) +3 // Да, и первая из них - вы никак не сможете проверить что вам в браузер вгрузился , Аноним (-), 20:37 , 05-Июл-13, (24) +2 Чтобы там _гарантированно_ встретился такой нежданчик , Аноним (-), 23:04 , 05-Июл-13, (37) // Чтобы туда были гарантированно сбекпортированы фиксы к нежданчикам за последние , Crazy Alex (ok), 23:44 , 05-Июл-13, (44) // Сама фраза бэкпортирование означает что сначала это было починено где-то еще, , Аноним (-), 00:09 , 06-Июл-13, (47) Ну так юзайте дистрибутивы, где секьюрити тим не такой тормозной Дебиан вполне , Crazy Alex (ok), 18:40 , 06-Июл-13, (70) И тем не менее, сначала фикс делается апстримом и только потом секурити тим его , Аноним (-), 02:23 , 07-Июл-13, (79) Чтобы фиксы были сбекпортированы, их сначала нужно закоммитить в актуальную верс, Аноним (-), 15:26 , 06-Июл-13, (68) Ясное дело Причем бекпорт секьюрити фикса может быть довольно быстрым, а вот с , Crazy Alex (ok), 18:39 , 06-Июл-13, (69) Как показывает практика, бекпорты умеют вызывать баги не хуже транка , Аноним (-), 13:50 , 07-Июл-13, (89) А чего б им Что так малопротестированное изменениие в коде, что этак , Аноним (-), 10:36 , 08-Июл-13, (102) Точно Вот нафига BIND юзают самый свежий Известно всем гуру что версия на пару, kurokaze (ok), 16:22 , 07-Июл-13, (92) code Generates a random string of length size characters If alpha 1 , Михрютка (ok), 17:52 , 05-Июл-13, (5) +8   // look ma no hands and no brain too 8230 , arisu (ok), 02:10 , 06-Июл-13, (56) –2   А чё не так, давай подробнее , pavlinux (ok), 05:57 , 06-Июл-13, (63) –1   Поясни плз, что не так Я вижу лишь несоответствие комментария к функции тому, ч, Ordu (ok), 19:35 , 06-Июл-13, (73)   // DNA авторов это 8212 говнокод с первой и до последней строчки говнокод нач, arisu (ok), 19:41 , 06-Июл-13, (74) –3   // А, понятно И как только я сам не догадался , Ordu (ok), 03:37 , 07-Июл-13, (85)   потому что ты тоже говнокодер возможно, от недостатка опыта а возможно 8212 , arisu (ok), 03:58 , 07-Июл-13, (88) –3   p s благодарю в удалённом посте было отличное доказательство утверждения номер, arisu (ok), 23:22 , 07-Июл-13, (95)   Если это гoвнокод - то покажи, как правильно Если сам не гoвнокодер, конечно в , Аноним (-), 13:55 , 07-Июл-13, (91)   командовать одноклассниками будешь, если позволят свободен , arisu (ok), 23:27 , 07-Июл-13, (96) –2   Поэтому юзайте жаббер внутри ЕСП ГРЕ и будет вам щястье, YetAnotherOnanym (ok), 18:35 , 05-Июл-13, (7) // А потом обнаружьте что сервант расшифровывает сообщения и по этому поводу может , Аноним (-), 19:17 , 05-Июл-13, (10) +1 // Не боись, анониный брат Факты передачи OTR и GPG сообщений через публичные серв, Аноним (-), 19:43 , 05-Июл-13, (14) –1 // Записывать потенциально может кто угодно и что угодно Поэтому с точки зрения кр, Аноним (-), 20:22 , 05-Июл-13, (18) +1 на здоровье штука не в том, чтобы 171 не услышали 187 , а в том, чтобы не по, arisu (ok), 02:11 , 06-Июл-13, (57) OTR - очень сомнительно Уж лучше GPG, но будьте готовы, что лет через 10-15 все, iWLCkhBrBeDTGA (?), 22:09 , 05-Июл-13, (34) –1 // И чем оно сомнительно , Crazy Alex (ok), 23:45 , 05-Июл-13, (45) видимо, тем, что 171 яничегонепонимаютам 187 , arisu (ok), 02:12 , 06-Июл-13, (58) –1 Раз тебе непонятно, то продолжай использовать этот чёрный ящик с, вроде бы, прия, iWLCkhBrBeDTGA (?), 11:54 , 06-Июл-13, (67) как и следовало ожидать, внятного ответа от тебя нет а я уж думал, ты действите, arisu (ok), 19:24 , 06-Июл-13, (72) –1 Вообще-то есть описание протокола и исходники Wtf is черный ящик , Аноним (-), 02:25 , 07-Июл-13, (80) и статьи от авторов с описаниями алгоритмов и причин выбора оных но оно альтерн, arisu (ok), 03:53 , 07-Июл-13, (86) Речь про использование как чёрного ящика Просто полагаясь на корректность про, iWLCkhBrBeDTGA (?), 09:56 , 08-Июл-13, (99) Ну так он именно для такого использования и сделан Он делает довольно мало допу, Аноним (-), 15:15 , 09-Июл-13, (109) Тем, что никакого полноценного криптоанализа не было проведено представлено Нев, iWLCkhBrBeDTGA (?), 11:52 , 06-Июл-13, (66) Там используются вполне обычные алгоритмы, криптоанализ которых как ни странно б, Аноним (-), 02:31 , 07-Июл-13, (81) не вижу смысла метать бисер оно не поймёт ни слова , arisu (ok), 03:54 , 07-Июл-13, (87) –2 Не надо выпендриваться Это форум, на котором люди получают знания И слава Богу , konst (??), 02:46 , 08-Июл-13, (97) +1 обучение основам криптографии 8212 за деньги ибо задача сложная, требует от , arisu (ok), 13:51 , 08-Июл-13, (103) –2 Мое дело попытаться Дальше мозг или включается или нет , Аноним (-), 15:16 , 09-Июл-13, (110) Понятное дело, что известные алгоритмы Но само сочетание толком не изучено Где, iWLCkhBrBeDTGA (?), 09:48 , 08-Июл-13, (98) С таким же успехом продолб может всплыть и в любом ином протоколе Из описания п, Аноним (-), 23:47 , 09-Июл-13, (113) Вопрос от непрофи А если эти сессионные ключи сохраняются в БД на сервере-переда, konst (??), 02:28 , 10-Июл-13, (114) а откуда он их возьмёт-то ты же не думаешь, что ключи просто так, открытым текс, arisu (ok), 15:57 , 10-Июл-13, (115) p s луркай Diffie 8211 Hellman key exchange , arisu (ok), 16:00 , 10-Июл-13, (116) У него есть ряд интересных свойств, которые GPG недоступны В частности - продол, Аноним (-), 00:11 , 06-Июл-13, (48) там ещё и deniability есть тоже приятная штука , arisu (ok), 02:14 , 06-Июл-13, (59) –1 Угу Особенно во всяких муд цких юрисдициях где за отказ дать ключ могут посад, Аноним (-), 02:33 , 07-Июл-13, (82) _своим_ жабером , YetAnotherOnanym (ok), 22:46 , 05-Июл-13, (35) // А переписываться потом самому с собой Иначе для как минимум 1 участника сервак , Аноним (-), 00:12 , 06-Июл-13, (49) нет, с соратниками по конспирации , YetAnotherOnanym (ok), 10:06 , 06-Июл-13, (64) –1 Для кого-то из них сервер будет уже не его, стало быть , Аноним (-), 02:34 , 07-Июл-13, (83) это не уязвимость а фича, фбр тут не причём, Отсутствуют данные в поле Name (?), 19:06 , 05-Июл-13, (8) // Вы путаете с OpenBSD , Аноним (-), 13:52 , 07-Июл-13, (90) +1 Уууу, сколько теперь народу посодют , Аноним (-), 19:24 , 05-Июл-13, (11) // или наградят пАчЁтной грамотой , баламут (?), 22:53 , 05-Июл-13, (36) 1,2,5,7,8,11

Сообщения

[Сортировка по времени | RSS]

5. "В Cryptocat найдена серьёзная уязвимость, позволяющая получи..."	+8 +/–
Сообщение от Михрютка (ok), 05-Июл-13, 17:52
// Generates a random string of length `size` characters. // If `alpha = 1`, random string will contain alpha characters, and so on. // If 'hex = 1', all other settings are overridden. Cryptocat.randomString = function(size, alpha, uppercase, numeric, hex) {     var keyspace = ''     var result = ''     if (hex) { keyspace = '0123456789abcdef' }     else {         if (alpha) { keyspace += 'abcdefghijklmnopqrstuvwxyz' }         if (uppercase) { keyspace += 'ABCDEFGHIJKLMNOPQRSTUVWXYZ' }         if (numeric) { keyspace += '0123456789' }     }     for (var i = 0; i !== size; i++) {         result += keyspace[Math.floor(Cryptocat.random()*keyspace.length)]     }     return result } -// Generate private key (32 byte random number) -// Represented in decimal +// Generate private key (64 random bytes) multiParty.genPrivateKey = function() {    var rand = Cryptocat.randomString(64, 0, 0, 1, 0) http://catmacros.files.wordpress.com/2009/06/its_beautiful.jpg начиная от параметров randomString, и заканчивая каментами в коде. хосподи, а я тут на некоторых своих коллег наезжаю по мелочам. пойду извинюсь.
Ответить | Правка | Наверх | Cообщить модератору

	56. "В Cryptocat найдена серьёзная уязвимость, позволяющая..."	–2 +/–
	Сообщение от arisu (ok), 06-Июл-13, 02:10
	look ma no hands! and no brain too…
	Ответить | Правка | Наверх | Cообщить модератору

	63. "В Cryptocat найдена серьёзная уязвимость, позволяющая получи..."	–1 +/–
	Сообщение от pavlinux (ok), 06-Июл-13, 05:57
	> хосподи, а я тут на некоторых своих коллег наезжаю по мелочам. пойду извинюсь. А чё не так, давай подробнее?!
	Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

	73. "В Cryptocat найдена серьёзная уязвимость, позволяющая получи..."	+/–
	Сообщение от Ordu (ok), 06-Июл-13, 19:35
	Поясни плз, что не так? Я вижу лишь несоответствие комментария к функции тому, что делает эта функция на практике (вместо заявленных 64 случайных байт, она выдаёт 64 случайных цифры). Но я не программист-профи, и вероятно чего-то не понимаю. А любопытство распирает: что здесь не так? Да, и это не пустое любопытство. У меня есть нечто похожее для генерации паролей. Может мой код тоже косячен? А! Может дело в Math.floor(Cryptocat.random()*keyspace.length)? Максимальное значение Cryptocat.random(), надо полагать равно единице, и ежели единица выпадет, то после всех округлений получится индекс выходящий за границы массива. Так? Но может быть единица не может выпасть?
	Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

	74. "В Cryptocat найдена серьёзная уязвимость, позволяющая..."	–3 +/–
	Сообщение от arisu (ok), 06-Июл-13, 19:41
	> Поясни плз, что не так? DNA авторов. это — говнокод. с первой и до последней строчки говнокод. начиная уже с сигнатуры функции говнокод.
	Ответить | Правка | Наверх | Cообщить модератору

	85. "В Cryptocat найдена серьёзная уязвимость, позволяющая..."	+/–
	Сообщение от Ordu (ok), 07-Июл-13, 03:37
	>> Поясни плз, что не так? > DNA авторов. это — говнокод. с первой и до последней строчки говнокод. > начиная уже с сигнатуры функции говнокод. А, понятно. И как только я сам не догадался.
	Ответить | Правка | Наверх | Cообщить модератору

	88. "В Cryptocat найдена серьёзная уязвимость, позволяющая..."	–3 +/–
	Сообщение от arisu (ok), 07-Июл-13, 03:58
	> А, понятно. И как только я сам не догадался. потому что ты тоже говнокодер. возможно, от недостатка опыта. а возможно — от недостатка мозга. об этом я в данном обсуждении судить не берусь (если, конечно, ты не продемонстрируешь доказательства второго варианта добровольно).
	Ответить | Правка | Наверх | Cообщить модератору

	95. "В Cryptocat найдена серьёзная уязвимость, позволяющая..."	+/–
	Сообщение от arisu (ok), 07-Июл-13, 23:22
	p.s. благодарю. в удалённом посте было отличное доказательство утверждения номер два из #88.
	Ответить | Правка | К родителю #85 | Наверх | Cообщить модератору

	91. "В Cryptocat найдена серьёзная уязвимость, позволяющая..."	+/–
	Сообщение от Аноним (-), 07-Июл-13, 13:55
	> DNA авторов. это — гoвнокод. с первой и до последней строчки гoвнокод. > начиная уже с сигнатуры функции гoвнокод. Если это гoвнокод - то покажи, как правильно. Если сам не гoвнокодер, конечно (в этом случае пойдут отмазы "я тут работать не нанимался, гони бабки, тогда выдам свой мега-убер-код").
	Ответить | Правка | К родителю #74 | Наверх | Cообщить модератору

	96. "В Cryptocat найдена серьёзная уязвимость, позволяющая..."	–2 +/–
	Сообщение от arisu (ok), 07-Июл-13, 23:27
	командовать одноклассниками будешь, если позволят. свободен.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема