> Per "esploitare" Heartbleed, è necessario fare un handshake HTTP
> completo (e pure più di uno, AFAIK).

Non è così. Anche se non capisco bene cosa intendi con handshake HTTP,
per "esploitare" heartbleed manco ti serve completare l'handshake TLS:
se ti accontenti di avere il traffico heartbeat non criptato, ti basta
iniziare ad inviare le richieste heartbeat subito dopo "server hello". E
in questa fase della sessione TLS non sarebbe neanche possibile fare
delle richieste HTTP... neanche se te ne scappasse una per sbaglio :-)

Ovviamente è possibile anche fare richieste HTTP (dopo aver completato
l'handshake TLS) in aggiunta a quelle di heartbeat, ma non penso che i
pro giustifichino i contro.

Ciao


Fabio
________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List

Rispondere a