Σοβαρό κενό ασφαλείας στο OpenSSL

[eyw]

Αμάν με τα κενά ασφαλείας. Ωραία, υπάρχουν κενά στα windows και στον internet explorer, το καταλάβαμε.
Οταν ανακαλύπτουν κενά σφαλείας στο OpenSSL κλπ τότε το παιχνίδι μοιάζει στημένο...

Εσείς τι λέτε, βρέχει κενά ασφαλείας (2-3 ανακαλύψεις την βδομάδα) και είναι τυχαίο? Κάτι παίζεται...

[DSLaManiaC]

Αμάν με τα κενά ασφαλείας. Ωραία, υπάρχουν κενά στα windows και στον internet explorer, το καταλάβαμε.
Οταν ανακαλύπτουν κενά σφαλείας στο OpenSSL κλπ τότε το παιχνίδι μοιάζει στημένο...

Εσείς τι λέτε, βρέχει κενά ασφαλείας (2-3 ανακαλύψεις την βδομάδα) και είναι τυχαίο? Κάτι παίζεται...

Μας ψεκάζουν.

[eyw]

Μας ψεκάζουν.

Ε, όχι. Εμείς δεν έχουμε κενά ασφαλείας. Πάντως ο ψεκασμός πιάνει στα λειτουργικά, applications, OpenSLL κλπ.
Αντε να δούμε τι άλλο θα ανακοινωθεί αυτή τη βδομάδα.

[stel_0]

ζόρικο.

Φαντάζομαι έχει επιπτώσεις και σε επίπεδο client οπότε αναμένουμε updates και σε mainstream λειτουργικά.

[fumantsu]

Αμάν με τα κενά ασφαλείας. Ωραία, υπάρχουν κενά στα windows και στον internet explorer, το καταλάβαμε.
Οταν ανακαλύπτουν κενά σφαλείας στο OpenSSL κλπ τότε το παιχνίδι μοιάζει στημένο...

Εσείς τι λέτε, βρέχει κενά ασφαλείας (2-3 ανακαλύψεις την βδομάδα) και είναι τυχαίο? Κάτι παίζεται...

Οτι ειναι γραμμενο απο ανθρωπινο χερι ειναι λογικο να εχει λαθη.

[frap]

Αν το διάβασα καλά, το bug μπορεί να το εκμεταλλευθεί κάποιος μέσω services, όπως webservers, που χρησιμοποιούν το openssl library για να έχουν secure επικοινωνία με τον πελάτη.

Επειδή το bug επιτρέπει στον επιτιθέμενο να διαβάσει τη μνήμη (και άρα ότι υπάρχει εκεί από άλλες processes...) του server που τρέχει το εν λόγω service, μπορείτε να θεωρείστε πως οτιδήποτε ευαίσθητο υπήρχε σε αυτούς τους servers έχει εκτεθεί.

Εάν το προσωπικό κλειδί σας (που δεν είχε passphrase...) λοιπόν ήταν αποθηκευμένο σε ένα τέτοιο server, ναι, να το αλλάξετε. Το αυτό και για το private key του πιστοποιητικού σας.
Εάν έχετε web (ή άλλο) server που διαθέτει πιστοποιητικό για secure περιεχόμενο, ναι να το αλλάξετε μετά το update του openssl βεβαίως.
Κλπ κλπ...

Εάν όμως το private key βρίσκεται αποθηκευμένο στον υπολογιστή του σπιτιού σας ο οποίος συνήθως δεν διαθέτει web server ή άλλη υπηρεσία που θα χρησιμοποιούσε το openssl library και δε μεταφέρθηκε ποτέ σε άλλο υπολογιστή, που ίσως έτρεχε τέτοια services, τότε αυτό το κλειδί είναι ασφαλές και μπορείτε να συνεχίστε να το χρησιμοποιείτε άφοβα (τουλάχιστον όσον αφορά αυτή το bug).

[raspoutiv]

και τα κλειδάκια του ssh θέλουν άλλαγμα ε;

[frap]

και τα κλειδάκια του ssh θέλουν άλλαγμα ε;

Σύμφωνα με ότι διάβασα, ναι, εφόσον ήταν αποθηκευμένα σε σύστημα που μπορούσε να προσβληθεί.

[tsigarid]

Άραγε πόσο επηρεάζεται η ασφάλεια των windows XP, των οποίων η υποστήριξη λήγει σήμερα;

[biggeo65]

Άραγε πόσο επηρεάζεται η ασφάλεια των windows XP, των οποίων η υποστήριξη λήγει σήμερα;

Όσο και τα άλλα λειτουργικά όταν συνδέονται με σελίδες που χρησημοποιούν OpenSSL.
Δεν είναι θέμα λειτουργικού, θέμα πρωτοκόλου είναι.

Κι εξάλλου όσοι έχουμε Windows έουμε μάθει να ζούμε με κένα ασφαλείας.
Κάθε μήνα "βουλώνουν" τουλάχιστον ένα.

[vasim]

Όσο και τα άλλα λειτουργικά όταν συνδέονται με σελίδες που χρησημοποιούν OpenSSL.
Δεν είναι θέμα λειτουργικού, θέμα πρωτοκόλου είναι.

Κι εξάλλου όσοι έχουμε Windows έουμε μάθει να ζούμε με κένα ασφαλείας.
Κάθε μήνα "βουλώνουν" τουλάχιστον ένα.

Σωστά, το θέμα είναι να τα "βουλώνουν"

[sdikr]

Άραγε πόσο επηρεάζεται η ασφάλεια των windows XP, των οποίων η υποστήριξη λήγει σήμερα;

Απάντησε ποιο πάνω ο biggeo65, αλλά σκέψου μιλάμε για κάτι που είναι opensource και η τρύπα υπάρχει για πάνω απο 2 χρόνια
υποτίθεται οτι τον κώδικα τον βλέπουν χιλιάδες!

[sktheo]

OpenSSL... ανοικτο για ολους
Δεν μπορουσαν να το λενε FreeSSL;
Καποια φαβα εχει ο λακκος 2+ χρονια τωρα...
NSA;

[Tiven]

Η NSA χρησιμοποιεί και άλλες τρύπες που θα τις μάθεις μετά από χρόνια πάλι.

[ESP1982]

υποτίθεται οτι τον κώδικα τον βλέπουν χιλιάδες!

Αν ούτε οι ίδιοι δεν έχουν ιδέα τι γίνεται εκεί μέσα, δεν ωφελούν τα extra μάτια. Εδώ ήταν σπασμένο 2 χρόνια σε debian επειδή ένας openssl dev είπε ένα 'ok, κάνε comment τα 2 lines, no prob'.

[edit] για το απαραίτητο http://xkcd.com/424/