forum.opennet.ru

"В Cryptocat найдена серьёзная уязвимость, позволяющая получи..."

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Присылайте удачные настройки в раздел примеров файлов конфигурации на WIKI.opennet.ru.

. "В Cryptocat найдена серьёзная уязвимость, позволяющая получи..."	+/–
Сообщение от iWLCkhBrBeDTGA (?), 08-Июл-13, 09:48
Понятное дело, что известные алгоритмы. Но само сочетание толком не изучено. Где гарантии, что всё действительно всё хорошо, и что в ближайшем будущем не будут выявлены незаявленные разработчиками "возможности"? Полагаться на допущение - странная стратегия. Поэтому да, до тех пор, пока не проведено комплексного анализа, OTR выглядит для очень сомнительно. Касательно GPG - всё верно, только ты перечислил "проблемы" которые существуют by design. Но, в отличие от ORT, OpenPGP изучено и предсказуемо. И это главный плюс. Ещё раз, для PGP известна оценка стойкости "сверху"; а для OTR что? Я не хочу сказать, что "OTR - плохо", нет. Мне нравится OTR, мне нравятся его возможности, но я не вижу причин его применять только из-за этого.
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

В Cryptocat найдена серьёзная уязвимость, позволяющая получи..., opennews, 05-Июл-13, 17:04 [смотреть все]

Вот такая вот обратная совместимость , Аноним, 05-Июл-13, 17:04 (1)
А потом некоторые удивляются, почему для продакшна лучше брать древности , кото, Crazy Alex, 05-Июл-13, 17:21 (2) //
- Ну да, прикольно же юзать не фикшеную версию Да и вон дебианщики умудрились и в, Аноним, 05-Июл-13, 17:26 (3) //
  - User294, еще не надоело про одну и ту же проблему многолетней давности рассказыв, Необъективный_, 05-Июл-13, 17:32 (4) //
    - Я не злопамятный, но злой и память у меня хорошая Знаешь, мне пришлось резко от, Аноним, 05-Июл-13, 19:12 (9)
      - А причём тут дебиан Это проблема аудита, как и в этой кстати новости написано , Аноним, 05-Июл-13, 19:58 (15)
        
        Ну да, конечно У разработчиков, конечно, никаких проблем - это ведь не их косяк, Ytch, 05-Июл-13, 20:16 (17)
        
        Отсюда ниоткуда не следует что это приведет к проблемам Так что оба хороши , Аноним, 05-Июл-13, 20:34 (22)
        
        пока где слово подходит для релиза в местах связаных с криптухой - это чуть ч, linux must __RIP__, 05-Июл-13, 21:19 (30)
        Не следует, но я не увидел ничего наподобие yes, it s safe to remove them , по, Ytch, 05-Июл-13, 21:55 (33)
        В целях дебага код можно корежить любым образом, отрезая любые куски функциональ, Аноним, 05-Июл-13, 23:09 (38)
        
        Дебажить криптографию не в том виде каком она будет у юзерей - довольно странный, Аноним, 05-Июл-13, 23:13 (39)
        
        С вашей логикой нужно полностью похоронить юнит-тестирование - ведь оно тестируе, Аноним, 05-Июл-13, 23:20 (41)
        
        Пиндеж Тестируются участки кода в виде как они будут у юзера А если вы там поо, Аноним, 07-Июл-13, 02:10 (75)
        
        Пиндеж У юзера будет _весь_ код целиком, и никак иначе , Аноним, 07-Июл-13, 02:54 (84)
        И именно поэтому основную массу тестирования имеет смысл проводить когда все соб, Аноним, 08-Июл-13, 10:00 (100)
        
        Дебажить все что угодно не в конечном виде это вполне естественный подход Доб, Ytch, 06-Июл-13, 00:50 (54)
        
        Только заканчивается это тем что теоретически все вроде работает а на практике ю, Аноним, 07-Июл-13, 02:11 (76)
        
        Ой, а может расскажете как можно найти какую-нибудь нетривиальную ошибку не внос, Ytch, 07-Июл-13, 22:27 (94)
        Общего рецепта вообще не существует, в ряде случаев отлов бага может быть весьма, Аноним, 08-Июл-13, 10:03 (101)
        Да все индивидуально Но даже пропадание бага при включении отладки - это уже ко, Ytch, 08-Июл-13, 21:36 (104)
        Зачастую такая ситуация является полным ребусом, на распутывание которого можно , Аноним, 09-Июл-13, 15:09 (107)
        ой, 171 плавающие 187 баги 8212 это сказка, конечно чем дальше 8212 т, arisu, 09-Июл-13, 15:29 (111)
        Вот Ключевое слово - тестировать Тестировать - да, именно то, что будет у юз, Ytch, 09-Июл-13, 21:22 (112)
  - А вы юзайте старые пофикшеные версии , Аноним, 05-Июл-13, 20:00 (16) //
    - Necromancy is a forbidden art Хотя некоторым может и нравится получать сплойтам, Аноним, 05-Июл-13, 20:36 (23)
      - Нормальные люди фиксы бекпортят А фичи с багами оставляют в новых версиях , Crazy Alex, 05-Июл-13, 20:38 (25)
        
        Ага, и фиксы к старым багам там же оставляют Спасибо, я уже видел как в 3 2 3, Аноним, 05-Июл-13, 21:05 (28)
        
        И часто вам нужен USB-3 стек на продакшне Я ж вроде не о домашних машинках гово, Crazy Alex, 05-Июл-13, 23:39 (42)
        
        А чем мой домашний комп хуже продакшна, собственно И почему там допустима какая, Аноним, 06-Июл-13, 00:36 (52)
        
        позвольте - читали последную новость о локальный DoS для RedHat так это был бэ, linux must __RIP__, 05-Июл-13, 21:20 (31)
        
        Ну а, бывает Будете спорить, что с новыми фичами багов прилетает больше, чем в , Crazy Alex, 05-Июл-13, 23:40 (43)
        
        Вот это кстати еще большой вопрос где и каких багов больше При бэкпортах обычно, Аноним, 06-Июл-13, 00:19 (51)
        
        Как минимум в дебиане - обычно чинят Хотя, конечно, не исключен вариант чего-то, Crazy Alex, 06-Июл-13, 18:41 (71)
        
        Напротив, обычно они чинят только секурити по моим наблюдениям Остальное им в о, Аноним, 07-Июл-13, 02:22 (78)
- поправочка для продакшна лучше не брать код написанный в бессознательном состоян, Михрютка, 05-Июл-13, 17:58 (6) //
  - en masse тогда уж Н-да, честные люди не пытались бы отмазаться Случайна ли о, Michael Shigorin, 05-Июл-13, 19:42 (13) //
    - На самом деле тому кто хоть немного разбирается в криптографии сразу понятно что, Аноним, 05-Июл-13, 20:33 (21)
    - tushe Любопытную версию выдвинул Сысой Свиридович Сидоров для объяснения тайны , Михрютка, 05-Июл-13, 20:38 (26)
      - touch 233 , sin, 05-Июл-13, 21:09 (29)
        
        out , Куяврик, 09-Июл-13, 02:24 (105)
      - Douche Douchebag , Аноним, 09-Июл-13, 15:11 (108)
    - Дадада, всюду враги Бритва Хенлона , Аноним, 05-Июл-13, 21:48 (32)
      - Почему всюду В конкретных местах в общем то , ананим, 05-Июл-13, 23:19 (40)
      - К черту бритвы Элементарная логика в виде вебня опенсорс граждане решили, Аноним, 06-Июл-13, 00:06 (46)
  - Речь о том, что старый код больше гоняли и больше смотрели А в каких его там со, Crazy Alex, 05-Июл-13, 20:40 (27) //
    - С другой стороны, редкий програмер портит свою программу с течением времени Зат, Аноним, 06-Июл-13, 00:18 (50)
- все сообщения отправленные с 17 октября 2011 года по 15 июня 2013 года подверже, Аноним, 05-Июл-13, 19:37 (12)
- это же голимая вебня, наверняка там таких граблей дохерища В нормальной среде н, all_glory_to_the_hypnotoad, 05-Июл-13, 20:28 (20) //
  - Да, и первая из них - вы никак не сможете проверить что вам в браузер вгрузился , Аноним, 05-Июл-13, 20:37 (24)
- Чтобы там _гарантированно_ встретился такой нежданчик , Аноним, 05-Июл-13, 23:04 (37) //
  - Чтобы туда были гарантированно сбекпортированы фиксы к нежданчикам за последние , Crazy Alex, 05-Июл-13, 23:44 (44) //
    - Сама фраза бэкпортирование означает что сначала это было починено где-то еще, , Аноним, 06-Июл-13, 00:09 (47)
      - Ну так юзайте дистрибутивы, где секьюрити тим не такой тормозной Дебиан вполне , Crazy Alex, 06-Июл-13, 18:40 (70)
        
        И тем не менее, сначала фикс делается апстримом и только потом секурити тим его , Аноним, 07-Июл-13, 02:23 (79)
    - Чтобы фиксы были сбекпортированы, их сначала нужно закоммитить в актуальную верс, Аноним, 06-Июл-13, 15:26 (68)
      - Ясное дело Причем бекпорт секьюрити фикса может быть довольно быстрым, а вот с , Crazy Alex, 06-Июл-13, 18:39 (69)
        
        Как показывает практика, бекпорты умеют вызывать баги не хуже транка , Аноним, 07-Июл-13, 13:50 (89)
        
        А чего б им Что так малопротестированное изменениие в коде, что этак , Аноним, 08-Июл-13, 10:36 (102)
- Точно Вот нафига BIND юзают самый свежий Известно всем гуру что версия на пару, kurokaze, 07-Июл-13, 16:22 (92)
code Generates a random string of length size characters If alpha 1 , Михрютка, 05-Июл-13, 17:52 (5) //
- look ma no hands and no brain too 8230 , arisu, 06-Июл-13, 02:10 (56)
- А чё не так, давай подробнее , pavlinux, 06-Июл-13, 05:57 (63)
- Поясни плз, что не так Я вижу лишь несоответствие комментария к функции тому, ч, Ordu, 06-Июл-13, 19:35 (73) //
  - DNA авторов это 8212 говнокод с первой и до последней строчки говнокод нач, arisu, 06-Июл-13, 19:41 (74) //
    - А, понятно И как только я сам не догадался , Ordu, 07-Июл-13, 03:37 (85)
      - потому что ты тоже говнокодер возможно, от недостатка опыта а возможно 8212 , arisu, 07-Июл-13, 03:58 (88)
      - p s благодарю в удалённом посте было отличное доказательство утверждения номер, arisu, 07-Июл-13, 23:22 (95)
    - Если это гoвнокод - то покажи, как правильно Если сам не гoвнокодер, конечно в , Аноним, 07-Июл-13, 13:55 (91)
      - командовать одноклассниками будешь, если позволят свободен , arisu, 07-Июл-13, 23:27 (96)
Поэтому юзайте жаббер внутри ЕСП ГРЕ и будет вам щястье, YetAnotherOnanym, 05-Июл-13, 18:35 (7) //
- А потом обнаружьте что сервант расшифровывает сообщения и по этому поводу может , Аноним, 05-Июл-13, 19:17 (10) //
  - Не боись, анониный брат Факты передачи OTR и GPG сообщений через публичные серв, Аноним, 05-Июл-13, 19:43 (14) //
    - Записывать потенциально может кто угодно и что угодно Поэтому с точки зрения кр, Аноним, 05-Июл-13, 20:22 (18)
    - на здоровье штука не в том, чтобы 171 не услышали 187 , а в том, чтобы не по, arisu, 06-Июл-13, 02:11 (57)
  - OTR - очень сомнительно Уж лучше GPG, но будьте готовы, что лет через 10-15 все, iWLCkhBrBeDTGA, 05-Июл-13, 22:09 (34) //
    - И чем оно сомнительно , Crazy Alex, 05-Июл-13, 23:45 (45)
      - видимо, тем, что 171 яничегонепонимаютам 187 , arisu, 06-Июл-13, 02:12 (58)
        
        Раз тебе непонятно, то продолжай использовать этот чёрный ящик с, вроде бы, прия, iWLCkhBrBeDTGA, 06-Июл-13, 11:54 (67)
        
        как и следовало ожидать, внятного ответа от тебя нет а я уж думал, ты действите, arisu, 06-Июл-13, 19:24 (72)
        Вообще-то есть описание протокола и исходники Wtf is черный ящик , Аноним, 07-Июл-13, 02:25 (80)
        
        и статьи от авторов с описаниями алгоритмов и причин выбора оных но оно альтерн, arisu, 07-Июл-13, 03:53 (86)
        Речь про использование как чёрного ящика Просто полагаясь на корректность про, iWLCkhBrBeDTGA, 08-Июл-13, 09:56 (99)
        
        Ну так он именно для такого использования и сделан Он делает довольно мало допу, Аноним, 09-Июл-13, 15:15 (109)
      - Тем, что никакого полноценного криптоанализа не было проведено представлено Нев, iWLCkhBrBeDTGA, 06-Июл-13, 11:52 (66)
        
        Там используются вполне обычные алгоритмы, криптоанализ которых как ни странно б, Аноним, 07-Июл-13, 02:31 (81)
        
        не вижу смысла метать бисер оно не поймёт ни слова , arisu, 07-Июл-13, 03:54 (87)
        
        Не надо выпендриваться Это форум, на котором люди получают знания И слава Богу , konst, 08-Июл-13, 02:46 (97)
        
        обучение основам криптографии 8212 за деньги ибо задача сложная, требует от , arisu, 08-Июл-13, 13:51 (103)
        
        Мое дело попытаться Дальше мозг или включается или нет , Аноним, 09-Июл-13, 15:16 (110)
        
        Понятное дело, что известные алгоритмы Но само сочетание толком не изучено Где , iWLCkhBrBeDTGA, 08-Июл-13, 09:48 (98)
        
        С таким же успехом продолб может всплыть и в любом ином протоколе Из описания п, Аноним, 09-Июл-13, 23:47 (113)
        
        Вопрос от непрофи А если эти сессионные ключи сохраняются в БД на сервере-переда, konst, 10-Июл-13, 02:28 (114)
        
        а откуда он их возьмёт-то ты же не думаешь, что ключи просто так, открытым текс, arisu, 10-Июл-13, 15:57 (115)
        p s луркай Diffie 8211 Hellman key exchange , arisu, 10-Июл-13, 16:00 (116)
    - У него есть ряд интересных свойств, которые GPG недоступны В частности - продол, Аноним, 06-Июл-13, 00:11 (48)
      - там ещё и deniability есть тоже приятная штука , arisu, 06-Июл-13, 02:14 (59)
        
        Угу Особенно во всяких муд цких юрисдициях где за отказ дать ключ могут посад, Аноним, 07-Июл-13, 02:33 (82)
  - _своим_ жабером , YetAnotherOnanym, 05-Июл-13, 22:46 (35) //
    - А переписываться потом самому с собой Иначе для как минимум 1 участника сервак , Аноним, 06-Июл-13, 00:12 (49)
      - нет, с соратниками по конспирации , YetAnotherOnanym, 06-Июл-13, 10:06 (64)
        
        Для кого-то из них сервер будет уже не его, стало быть , Аноним, 07-Июл-13, 02:34 (83)
это не уязвимость а фича, фбр тут не причём, Отсутствуют данные в поле Name, 05-Июл-13, 19:06 (8) //
- Вы путаете с OpenBSD , Аноним, 07-Июл-13, 13:52 (90)
Уууу, сколько теперь народу посодют , Аноним, 05-Июл-13, 19:24 (11) //
- или наградят пАчЁтной грамотой , баламут, 05-Июл-13, 22:53 (36)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру