On 04/23/14 16:14, Miroslav Lachman:
On 04/23/14 11:03, Miroslav Lachman:
http://lists.freebsd.org/pipermail/freebsd-security/2014-April/007581.html
Podle (tehle konkretni verze tohohle konkretniho) analyzatoru je v kodu
182 mist, ktere by mel prohlednout clovek.
Ta informace rozhodne je zajimava, ale rika prave jen tohle.
Proto jsem tam taky dal i ten odkaz na cely thread, kde prave tohle
nekdo zminuje. :)
No, vsak ja jsem se taky az tak nebal o tebe ;-)
I tak si ovsem na (ne)kvalitu kodu OpenSSL stezuji vyvojari uz roky (co
tak vidim v ruznych mailinglistech).
Jenze porad to je, podle vseho, jednooky mezi slepejma. Prenejmensim v
open-source kategorii.
Jestli bude soucasnej prusvih k necemu dobrej, tak mozna prave k
"objevnemu" zjisteni, ze i v open source to bez penez tak uplne nejde.
OpenSSL je dneska srdcem rady klicovych hardwarovych i softwarovych
aplikaci, a to casto i velmi draho prodavanych, a pritom hodnota daru na
jeho podporu udajne neprevysila $2000.
No, za to se zadne velke kontrolovani neporidi. Pricemz nesmeruju ani
tak k zaveru, ze by se snad melo stat beznym zvykem i za open source
plati penezma, jako spis k obecnejsimu konstatovani, platnemu i zcela
mimo IT, ze proste neexistuji zadne obedy zcela zdarma.
Ano, uzivatel open-source si na rozdil od komercniho software muze
vybrat v jake podobe svoji cenu zaplati, ale tim to tak zhruba konci.
Nasledky Heartbleedu jsou dobre patrne napriklad diky extension
"Certificate Patrol" pro SeaMonkey / Firefox, ktera hlida zmeny v
certifikatech.
Ze je neco takoveho potreba tvrdim uz radu let, prestoze moje zduvodneni
bylo zalozene na obecnejsi argumentaci ve vztahu k utokum na klice. Tak
jasnovidnej abych mluvil primo o HeartBleed zase nejsem. Ale clovek
nemusi bejt genialni, aby odhadnul, ze nejakej prusvih se drive nebo
pozdeji nutne objevi. Jenze prevence nasledku, kdyz sam problem jeste
nenastal, to jsou prave ty odlozitelne naklady ...
Ted je skoro u kazdeho HTTPS webu videt, ze vystavovali
novy certifikat po 10.4.2014.
No, to ja jsem naopak videl tvrzeni, ze je prekvapive, jak malo je
takovych serveru. Sam jsem to nezkoumal, tak nevim, co presvedceni je
bliz pravde.
Ale neprekvapilo by mel, kdyby zdaleka ne kazdy server certifikat
vymenil. V nekterych pripadech to totiz nema valneho smylu.
Od leta uz lecktery prohlizec neumi revokovat pomoci CRL. Takze
napriklad nema smysl vymenovat zadny klic, v jehoz certifikatu neni
predepsana revokace OCSP. I kdyz ho zrevokujes, prohlizece to v dusledku
"moudreho rozhodnuti" nezjisti.
A pokud vim, i u toho OCSP je defaultne v prohlizecich nastaveno tak,
aby se "nic nedelo", kdyz se spojeni na OCSP server nezdari. Takze je
otazka, v kolika pripadech je vlastne stale mozne uzivatelum uspesne
"podvrhnout" ukradeny certifikat prestoze ho opravneny spravce nahradil
a zrevokoval. Ten, kdo dokaze zaranzovat MITM mezi konkretnim uzivatelem
a konkretnim serverem uz patrne taky dokaze zabranit tomu, aby se
uzivatel spojil na OCSP server ...
Dan
--
FreeBSD mailing list ([email protected])
http://www.freebsd.cz/listserv/listinfo/users-l
