> On 12 Apr 2014, at 11:03, Matijs van Zuijlen <mat...@matijs.net> wrote: > >> On 11/04/14 11:20, Winfried Tilanus wrote: >> De beste informatie die ik over heartbleed kon vinden was dit: >> >> http://blog.fox-it.com/2014/04/08/openssl-heartbleed-bug-live-blog/ >> >> Over de impact: >> - met heartbleed krijgt een aanvaller een *willekeurig* blok van 64K uit >> het geheugen van de server >> - de aanvaller kan niet sturen welk blok 'ie ontvangt >> - de aanvaller kan de aanval onbeperkt herhalen >> >> Met andere woorden: in potentie kan *ALLES* wat in het geheugen van de >> server zit/zat gecompromitteerd zijn. Dat kunnen read/write caches zijn >> van gegevens op de disk, actieve sessies, sleutels van welke soort dan >> ook, ontsleutelde data, wachtwoorden die op dat moment gecheckt worden, >> wat dan ook. Op het internet zijn inmiddels scripts te vinden die >> blokjes geheugen doorzoeken naar specifiek zaken als (sessie)cookies. > > Hoe zit dat met geheugen dat in gebruik is door andere processen? Je zou > denken > dat daar een zekere mate van afscherming aanwezig is. > Inderdaad, je kan met heartbleed alleen maar geheugen uit het proces met de TLS server lezen, niet van andere processen.
-- Kristof -- To UNSUBSCRIBE, email to debian-user-dutch-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org Archive: https://lists.debian.org/e73d390e-fe0b-4d9c-888c-016b0f6e5...@sigsegv.be
