Re: уязвимость OpenSSL

2014-04-13 Пенетрантность Stanislav Maslovski
On Sat, Apr 12, 2014 at 03:48:24PM +0400, Eugene Berdnikov wrote: On Sat, Apr 12, 2014 at 11:46:09AM +0100, Stanislav Maslovski wrote: On Thu, Apr 10, 2014 at 10:38:43PM +0400, Eugene Berdnikov wrote: Нет, heartbleed это уязвимость против активной атаки специально сконструированными

Re: уязвимость OpenSSL

2014-04-13 Пенетрантность Victor Wagner
On 2014.04.13 at 13:53:17 +0100, Stanislav Maslovski wrote: Никаких неинициализированных данных там и близко нет, там выход за границы. Почитайте лучше про суть атаки, чем фантазировать попусту. А что это меняет? По последствиям, выход за границы некой структуры в пределах общей heap -

Re: уязвимость OpenSSL

2014-04-13 Пенетрантность Stanislav Maslovski
On Sun, Apr 13, 2014 at 05:19:53PM +0400, Victor Wagner wrote: On 2014.04.13 at 13:53:17 +0100, Stanislav Maslovski wrote: Никаких неинициализированных данных там и близко нет, там выход за границы. Почитайте лучше про суть атаки, чем фантазировать попусту. А что это меняет? По

Re: уязвимость OpenSSL

2014-04-12 Пенетрантность Евгений Золотов
Вообще, CloudFlare уже хакнули и даже дважды :-) У Шнайера настораживает, что он сказал, что следов не остаётся. А в EFF считают иначе. https://www.eff.org/deeplinks/2014/04/wild-heart-were-intelligence-agencies-using-heartbleed-november-2013 https://www.cloudflarechallenge.com/heartbleed Е.

Re: уязвимость OpenSSL

2014-04-12 Пенетрантность Stanislav Maslovski
On Thu, Apr 10, 2014 at 10:38:43PM +0400, Eugene Berdnikov wrote: On Thu, Apr 10, 2014 at 05:03:02PM +0100, Stanislav Maslovski wrote: [skipped] ... если у заинтересованных служб была возможность писать тупо _всё_ скопом (а говорят, что она у них есть уже лет как несколько), то вообще

Re: уязвимость OpenSSL

2014-04-12 Пенетрантность Eugene Berdnikov
On Sat, Apr 12, 2014 at 11:46:09AM +0100, Stanislav Maslovski wrote: On Thu, Apr 10, 2014 at 10:38:43PM +0400, Eugene Berdnikov wrote: Нет, heartbleed это уязвимость против активной атаки специально сконструированными пакетами, которых в нормальном ssl-ном трафике не бывает. Прослушанный

Re: уязвимость OpenSSL

2014-04-12 Пенетрантность Dmitrii Kashin
Eugene Berdnikov b...@protva.ru writes: On Sat, Apr 12, 2014 at 11:46:09AM +0100, Stanislav Maslovski wrote: On Thu, Apr 10, 2014 at 10:38:43PM +0400, Eugene Berdnikov wrote: Нет, heartbleed это уязвимость против активной атаки специально сконструированными пакетами, которых в нормальном

Re: уязвимость OpenSSL

2014-04-11 Пенетрантность yuri . nefedov
Оценка опасности этого бага от Брюса Шнайера: https://www.schneier.com/blog/archives/2014/04/heartbleed.html Catastrophic is the right word. On the scale of 1 to 10, this is an 11. Ю.

Re: уязвимость OpenSSL

2014-04-11 Пенетрантность Victor Wagner
On 2014.04.11 at 13:59:55 +0400, yuri.nefe...@gmail.com wrote: Оценка опасности этого бага от Брюса Шнайера: https://www.schneier.com/blog/archives/2014/04/heartbleed.html Catastrophic is the right word. On the scale of 1 to 10, this is an 11. Вообще, Шнайер уже несколько поправился.

Re: уязвимость OpenSSL

2014-04-10 Пенетрантность Stanislav Maslovski
On Wed, Apr 09, 2014 at 05:21:47PM +0400, yuri.nefe...@gmail.com wrote: On Wed, 9 Apr 2014, Artem Chuprina wrote: Boris Bobrov - debian-russian@lists.debian.org @ Wed, 9 Apr 2014 13:44:40 +0500: День добрый, Критическая уязвимость в OpenSSL 1.0.1 и 1.0.2-beta -

Re: уязвимость OpenSSL

2014-04-10 Пенетрантность Eugene Berdnikov
On Thu, Apr 10, 2014 at 05:03:02PM +0100, Stanislav Maslovski wrote: [skipped] ... если у заинтересованных служб была возможность писать тупо _всё_ скопом (а говорят, что она у них есть уже лет как несколько), то вообще _все_ защищённые соединения, которые прошли через их систему,

Re: уязвимость OpenSSL

2014-04-10 Пенетрантность Dmitrii Kashin
Eugene Berdnikov b...@protva.ru writes: On Thu, Apr 10, 2014 at 05:03:02PM +0100, Stanislav Maslovski wrote: [skipped] ... если у заинтересованных служб была возможность писать тупо _всё_ скопом (а говорят, что она у них есть уже лет как несколько), то вообще _все_ защищённые соединения,

Re: уязвимость OpenSSL

2014-04-09 Пенетрантность Boris Bobrov
В сообщении от Wednesday 09 of April 2014 13:14:09 Sohin написал: День добрый, Критическая уязвимость в OpenSSL 1.0.1 и 1.0.2-beta - http://habrahabr.ru/post/218609/ все уже обновились? Мало обновляться, надо ещё сертификаты поотзывать и перегенерировать. -- WBR, Boris.

Re: уязвимость OpenSSL

2014-04-09 Пенетрантность Artem Chuprina
Boris Bobrov - debian-russian@lists.debian.org @ Wed, 9 Apr 2014 13:44:40 +0500: День добрый, Критическая уязвимость в OpenSSL 1.0.1 и 1.0.2-beta - http://habrahabr.ru/post/218609/ все уже обновились? BB Мало обновляться, надо ещё сертификаты поотзывать и перегенерировать. Это

Re: уязвимость OpenSSL

2014-04-09 Пенетрантность Mikhail A Antonov
On 09/04/14 16:25, Artem Chuprina wrote: Boris Bobrov - debian-russian@lists.debian.org @ Wed, 9 Apr 2014 13:44:40 +0500: День добрый, Критическая уязвимость в OpenSSL 1.0.1 и 1.0.2-beta - http://habrahabr.ru/post/218609/ все уже обновились? BB Мало обновляться, надо

Re: уязвимость OpenSSL

2014-04-09 Пенетрантность Alexei
Уязвимость была в течение нескольких лет, поэтому если кто-то до официального патча про нее знал - теоретически все сертификаты в мире уже могут быть скомпрометированы. Именно по этому есть рекомендация их отзывать. Здесь все тот же принцип неуловимого Джо. Если ты никому не нужен и тебе нечего

Re: уязвимость OpenSSL

2014-04-09 Пенетрантность Alex Mestiashvili
On 04/09/2014 02:43 PM, Mikhail A Antonov wrote: On 09/04/14 16:25, Artem Chuprina wrote: Boris Bobrov - debian-russian@lists.debian.org @ Wed, 9 Apr 2014 13:44:40 +0500: День добрый, Критическая уязвимость в OpenSSL 1.0.1 и 1.0.2-beta - http://habrahabr.ru/post/218609/ все

Re: уязвимость OpenSSL

2014-04-09 Пенетрантность yuri . nefedov
On Wed, 9 Apr 2014, Artem Chuprina wrote: Boris Bobrov - debian-russian@lists.debian.org @ Wed, 9 Apr 2014 13:44:40 +0500: День добрый, Критическая уязвимость в OpenSSL 1.0.1 и 1.0.2-beta - http://habrahabr.ru/post/218609/ все уже обновились? BB Мало обновляться, надо ещё сертификаты