Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

В OpenSSL обнаружена критическая уязвимость, которая может п..., opennews (??), 08-Апр-14, (0) [смотреть все] ай да АНБ, ай да молодцы это просто 5 , Аноним (-), 11:03 , 08-Апр-14, (1) +44 // Бритва херлона Никогда не приписывайте злому умыслу то, что вполне можно объясн, rshadow (ok), 13:56 , 08-Апр-14, (43) +1 // Ну SSL и TLS врядли по глупости были напроектирвоаны столь навороченными что ими, Аноним (-), 14:12 , 08-Апр-14, (56) +2 а утверждения Херлона, типа, истина в последней инстанции, как суждения Папы Рим, Аноним (-), 16:07 , 08-Апр-14, (95) +2 всегда говорил, что https не нужно, не нужно, не нужно , бедный буратино (ok), 11:12 , 08-Апр-14, (2) –11 // Если в твоей системе с рождения присутствует уязвимость, то вся паранойя вокруг , Аноним (-), 11:16 , 08-Апр-14, (4) +1 // извините, но в вашей ахинее я не вижу причинно-следственных связей, бедный буратино (ok), 11:46 , 08-Апр-14, (10) –2 А что не так с компилятором Он собран майнтайнерами системы, на пакете цифровая, Аноним (-), 22:07 , 08-Апр-14, (143) // А компилятор чем собирать будет маинтейнер, он же из воздуха не возьмётся Нужен, Аноним (-), 06:43 , 09-Апр-14, (170) –1 Внезапно, до того как появились компиляторы, был мир где компиляторов не было Э, Аноним (-), 09:02 , 09-Апр-14, (172) +2 Твоё воображение ничего общего с реальностью не имеет , Аноним (-), 10:57 , 09-Апр-14, (176) –3 только твоё имеет, ага , arisu (ok), 11:04 , 09-Апр-14, (177) +1 Д артаньян Столлман, Аноним (-), 12:32 , 09-Апр-14, (187) Д Артаньян, залогинься , Аноним (-), 11:46 , 09-Апр-14, (179) Легко, есть проблемы , ДАртаньян (?), 12:33 , 09-Апр-14, (188) –1 А где апостроф Говорят, Д Артаньян не настоящий , Аноним (-), 02:13 , 10-Апр-14, (196) Возможно здесь от слова Dark, поклонение тёмным силами, всё такое , Анонимоус (?), 08:47 , 10-Апр-14, (199) –1 Ничего ты не понял Это Дарт Аньян Как Дарт Вейдер или Дарт Сидиус, например , Dart Anyan (?), 10:53 , 14-Апр-14, (218) Да, особенно на всяких сбербанк-онлайнах, там пароли нужно вообще открытым текст, Адекват (ok), 12:02 , 08-Апр-14, (19) +1   // Шифровать ДО передачи по инету , 1 (??), 12:36 , 08-Апр-14, (29) –8   // А ты думаешь, как ssl работает , Анонем (?), 13:44 , 08-Апр-14, (40) +12   еще раз зашифровать , Аноним (-), 18:53 , 08-Апр-14, (119)   MS-виндоботы поражают воображение , Аноним (-), 14:28 , 08-Апр-14, (63) +6   Раньше на всяких Клиент-банках и без ССЛ-я всё как-то работало, прикинь , t28 (?), 12:40 , 08-Апр-14, (31) –5   // До червя морриса вообще о многих вещах не парились, прикинь , XoRe (ok), 12:43 , 08-Апр-14, (34) +3   ага, потому что было отдельное диалап подключение для каждого банка , ваы (?), 16:49 , 08-Апр-14, (105) +1   а, то есть твой говнобанк вот так и валит нешифрованый поток в соединение, надея, arisu (ok), 12:42 , 08-Апр-14, (33) +1   // А что, кто-то делает по другому А именно - вообще не использует https, прин, Адекват (ok), 12:46 , 08-Апр-14, (35) –2   да, все нормальные люди шифруют сами, секретными ключами впрочем, ты с домохозя, arisu (ok), 12:54 , 08-Апр-14, (36) –2   И какими же средствами обеспечивается защита соединения В ручную что-ли кажд, Адекват (ok), 14:15 , 08-Апр-14, (58) –1   Примерно так Только нет наружу соединения с таким https Шифровка дешифровка ид, balda (?), 14:28 , 08-Апр-14, (64)   А вот видимо и сотрудники банков появились, видимо При том ник сам за себя гово, Аноним (-), 14:49 , 08-Апр-14, (70) +1   Мне одно не понятно - банк как сможет расшифровать ваши данные Нет, если конеч, Адекват (ok), 14:59 , 08-Апр-14, (73)   Генеришь ключи, относишь на бумажечке Покупать ничего не нужно Есть онлайн-вер, qux (ok), 15:38 , 08-Апр-14, (87)   Ааа, это тот банк та система , где ключи ещё должны лежать на диске A или B И, Василий (??), 19:26 , 08-Апр-14, (122) –1   Сейчас в этих банках смарткарты и токены под собственным брендом, а линукс и мак, Аноним (-), 20:27 , 08-Апр-14, (127)   Нет, лежит где положишь Система кажись эта, тут и демка какая-то есть http ww, qux (ok), 23:19 , 08-Апр-14, (155)   Ох, еще один питекантроп Блин, народ, куда у нас модно посылать питекантропов, , Аноним (-), 16:00 , 08-Апр-14, (92) –2   Ко криптокантропам, очевидно , Michael Shigorin (ok), 14:52 , 11-Апр-14, (215)   для тебя, кретина, ещё раз повторяю соединение защищать не надо дальше повто, arisu (ok), 15:16 , 08-Апр-14, (78)   К сожалению, эти люди иной раз лезут в области где подразумевается передача ценн, Аноним (-), 16:02 , 08-Апр-14, (93)   это да причём они даже не понимают, насколько они ничего не понимают эффект Да, arisu (ok), 16:06 , 08-Апр-14, (94)   про крутые слова смешно читать от человека, постоянно использующего спич , Аноним (-), 16:09 , 08-Апр-14, (97) +1   а дуракам всегда смешно потому что дураки , arisu (ok), 16:12 , 08-Апр-14, (98) +1   p s кретин, защищать надо не 171 соединение 187 , а данные иди, осмысливай , arisu (ok), 12:55 , 08-Апр-14, (37) –6   Если соединение скомпрометировано, то данным можно тоже помахать ручкой, т к по, Stellarwind (?), 13:43 , 08-Апр-14, (39) +1   оно не 171 если 187 , оно однозначно https 8212 иллюзия безопасности, и п, arisu (ok), 13:56 , 08-Апр-14, (42)   Если пользоваться самоподписаными сертификатами, или же давай пруф на статью кот, Адекват (ok), 14:18 , 08-Апр-14, (59) –1   Гуглить про comodohacker, DigiNotar и какими сайтами умел представляться этот ха, Аноним (-), 14:54 , 08-Апр-14, (72) +2   Но сейчас то никто его трюк повторить не сможет, так , Адекват (ok), 15:15 , 08-Апр-14, (77) –4   Нет, не так А что принципиально изменилось с того момента Не вижу что помешает, Аноним (-), 16:09 , 08-Апр-14, (96) +4   откуда у тебя такие выводы , masudi (ok), 17:00 , 08-Апр-14, (107)   Это не проблема HTTPS Проблема в некоторых CA Кто-нибудь например может выдават, Anonym2 (?), 17:18 , 08-Апр-14, (109) –3   Как бы это сказать Толпа прихлебателей, которым либа браузер по дефолту до, Аноним (-), 18:30 , 08-Апр-14, (117)   Кем доказано, что речь идет про го но , Аноним (-), 19:02 , 08-Апр-14, (120)   Так проблема-то не в HTTPS а инфраструктуре CA , Аноним (-), 21:10 , 08-Апр-14, (130)   Проблем несколько 1 PKI - лохоразвод Сколь-нибудь надежно это может быть тольк, Аноним (-), 22:26 , 08-Апр-14, (146) +1   Вообще-то, криптография ставит своей задачей в том числе и передачу данных по не, Аноним (-), 22:16 , 08-Апр-14, (145)   сложно сказать, кто тут более кретин множество сетевых атак как раз строится на, crypt (ok), 13:57 , 08-Апр-14, (45)   любая идея защищать соединиение , а не данные 8212 придумана идиотами для , arisu (ok), 14:00 , 08-Апр-14, (48) –2   Какое хорошее описание OpenSSL и тех кто им пользуется , Аноним (-), 14:10 , 08-Апр-14, (55) –3   хинт OpenSSL 8212 это ещё и библиотека алгоритмов шифрования которые можно , arisu (ok), 15:21 , 08-Апр-14, (81)   Это да, но понимаешь ли, там SSL TLS есть, и вон то стадо долбодятлов начинает в, Аноним (-), 16:24 , 08-Апр-14, (99)   Ну я понимаю Кэпа Иногда очень хочется честно сказать кретину что он - кретин , Аноним (-), 22:38 , 08-Апр-14, (148)   Соединение и есть данные Просвещайся, неуч , Аноним (-), 21:11 , 08-Апр-14, (131)   Совершенно не обязательно Могут быть и служебные сущности, например Но грамоте, Аноним (-), 22:40 , 08-Апр-14, (149)   Еще более плохая новость обезьяны которые пишут этот банковский крап обычно не , Аноним (-), 14:45 , 08-Апр-14, (68)   это совершенно не повод считать https какой-то там 171 защитой 187 , arisu (ok), 15:23 , 08-Апр-14, (83)   Спасибо, я в курсе свойств SSL TLS и мне они не нравятся За все это я и не жалу, Аноним (-), 16:30 , 08-Апр-14, (101)   Пожалуйста, предложи криптографический casino-grade как на колесах рулетки пишу, Аноним (-), 21:55 , 08-Апр-14, (136) –2   С казино известно много приколов Как минимум одному гражданину запретили вход в, Аноним (-), 22:44 , 08-Апр-14, (151) +1   Хватит уже изголяться Ты альтернативу предложи , Sem (??), 11:44 , 09-Апр-14, (178)   Ну передашь ты его шифрованным, только окажется что это был не тот сервер Но ни, Аноним (-), 14:14 , 08-Апр-14, (57)   // Так, допустим некто организовал атаку M-I-M и стал через себя траффик пропускать, Адекват (ok), 14:53 , 08-Апр-14, (71) +1   Зачем Он ставит свой сервак, который я, типа, банковский сервер SSL делается, Аноним (-), 15:06 , 08-Апр-14, (74)   Щас попробую вникнуть 1 Мне отравили DNS, и для меня валидным ip банка теперь с, Адекват (ok), 15:50 , 08-Апр-14, (89)   За кадром слышен натужный скрип мозга питекантропа электричество магнетрон , Аноним (-), 16:44 , 08-Апр-14, (104)   gt оверквотинг удален Плз, не надо столько громких слов Объясни этому баклану,, Аноним (-), 21:57 , 08-Апр-14, (138)   Это прежде всего лохотрон, который претендует на то что он типа, аутентификация,, Аноним (-), 22:57 , 08-Апр-14, (153)   Отключи heartbeat И всё , Sabakwaka (ok), 02:38 , 09-Апр-14, (167) –1 http www linuxtag org 2012 en program speaker-features featured article featur, Аноним (-), 11:15 , 08-Апр-14, (3) +2 А сколько еще неизвестных общественности критических уязвимостей Бояться надо н, Аноним (-), 11:20 , 08-Апр-14, (5) +2 // все параноики так и делают, Нанобот (ok), 11:47 , 08-Апр-14, (11) +2 // И правильно, ведь всё знать невозможно и повод для страха есть всегда , Аноним (-), 14:04 , 08-Апр-14, (53) // А чё бояться то Ну есть язвы, ну может у тебя давно бэкдор, мир не без добрых , Анонимоус (?), 23:57 , 08-Апр-14, (161) А бояться надо того что чего-то не учел и не заметил, разумеется То-есть, собст, Аноним (-), 01:16 , 09-Апр-14, (164) +1 Вот за что-то такое мы и любим nacl от дяденьки берштейна Хорошее средство от о, Аноним (-), 11:24 , 08-Апр-14, (6) –1 // рад за вас где можно скачать ваши патчи к софту, который использует OpenSSL, да, arisu (ok), 11:28 , 08-Апр-14, (7) +2 // Нельзя Пакет станет популярным, это вредит неуязвимости продукта , anonymous (??), 12:06 , 08-Апр-14, (21) –3 // В SSL TLS и OpenSSL как реализации вредят совсем иные вещи, как то пи цкая нав, Аноним (-), 12:14 , 08-Апр-14, (23) +1 Синдром неуловимого Джо , e.slezhuk (?), 12:15 , 08-Апр-14, (24) +1 Более того, хорошая криптография проверки толпой народа не боится , Аноним (-), 12:17 , 08-Апр-14, (26) Нигде OpenSSL и SSL TLS вообще сделаны так, что секурно ими пользоваться може, Аноним (-), 12:12 , 08-Апр-14, (22) // мягко намекаю, что уже есть куча софта, которая использует OpenSSL поскольку , arisu (ok), 12:40 , 08-Апр-14, (30) +3 При том большинство оного по факту использует сие в виде декоративной бесполезно, Аноним (-), 13:47 , 08-Апр-14, (41) +2 ок где взять замены всему софту, который использует OpenSSL, от любителей nacl , arisu (ok), 13:57 , 08-Апр-14, (44) +1 У меня полный аэродром самолетов выработавших свой ресурс Что же мне с ними де, Аноним (-), 14:01 , 08-Апр-14, (49) +1 Есть распространённые и мощные БД, есть веб-серверы, есть куча другого софта, ис, Василий (??), 20:00 , 08-Апр-14, (124) –1 Ну я и говорю - полон аэродром стремных самолетов с гнилыми внутренностями, кото, Аноним (-), 23:08 , 08-Апр-14, (154) –1 Угу Давайте запретим авиацию как класс, пока не создадут новые самолеты Есть ве, Sem (??), 12:05 , 09-Апр-14, (183) –1 Декоративное типа, шифрование вредно хотя-бы тем что дает ложную уверенность ч, Аноним (-), 02:26 , 10-Апр-14, (197) +1 лететь-то на чём, а лететь уже надо есть замена нет только вопли, что 17, arisu (ok), 13:59 , 08-Апр-14, (47) +1 В зависимости от - я считаю что самолета нет, или конструирую новый Лететь на э, Аноним (-), 14:02 , 08-Апр-14, (50) ещё раз повторяю лететь надо уже 171 поехали, потом заведёшь 187 , ага , arisu (ok), 14:05 , 08-Апр-14, (54) +1 Ну раз надо - лети Правда у тебя интересно получается Если в дебиане лажа - он, Аноним (-), 14:22 , 08-Апр-14, (61) +1 я что-то говорил про то, что в чём не надо бредить, ты перечитай мои комментари, arisu (ok), 15:10 , 08-Апр-14, (75) +1 Естественно Я не могу запатчить парой заплаток фюзеляж, который по всей поверхн, Аноним (-), 16:57 , 08-Апр-14, (106) если всё ещё не дошло от воплей 171 а соль лучше 187 существующий софт с , arisu (ok), 15:14 , 08-Апр-14, (76) Да, от того факта что я сказал что на самолетах с фюзеляжем выработавшим свой ре, Аноним (-), 17:05 , 08-Апр-14, (108) gt оверквотинг удален Откажись от уютненькой мордокниги фконтактика, связи - , Аноним (-), 22:00 , 08-Апр-14, (140) +1 Сложно Ведь я ими и не начинал пользоваться Поэтому отказаться от них будет пр, Аноним (-), 23:21 , 08-Апр-14, (156) +1 Это декоративное секурити защищает в 99 случаев От теоретического знания общ, angra (ok), 02:32 , 09-Апр-14, (166) Это декоративное секурити защищает лишь до тех пор, пока никто не озадачиваетс, Аноним (-), 10:36 , 09-Апр-14, (174) –1 Танковая броня не защищает от прямого попадания ядерного заряда Ох печалька, уж, Аноним (-), 12:47 , 09-Апр-14, (189) +1 В данном случае броня является фанерной И не защищает даже от пистолетной пули , Аноним (-), 02:29 , 10-Апр-14, (198) От пистолетной пули не защищает Тебе дать дамп SSL траффика, а ты его расшифруе, ZiNk (ok), 01:16 , 11-Апр-14, (213) +1 A deterministic random-bit generator is seeded by the output from the condition, Anonym2 (?), 17:55 , 08-Апр-14, (111) openssh тоже в группе риска , Нанобот (ok), 11:56 , 08-Апр-14, (14) –1 // Конечно Смотрите вывод команды и всё будет понятно ssh -version, Аноним (-), 12:00 , 08-Апр-14, (15) –1 http security stackexchange com questions 3424 how-is-openssl-related-to-opens, Аноним (-), 12:01 , 08-Апр-14, (17) –1 Нет openssh использует openssl, но не tls с heartbeat Так что, sshd не затрону, anonymous (??), 20:41 , 08-Апр-14, (128) +1 Что-то на этом сервисе все чеки проходят как ОК в отличие от http filippo io H, Аноним (-), 12:01 , 08-Апр-14, (16) // Эм особо предприимчивые господа уже коллекционируют пароли и ключи на своих о, Аноним (-), 12:16 , 08-Апр-14, (25) +3 Эксплойт то где А то развели шум из-за ничего Где гарантия что в этих 64 кил, Аноним (-), 12:01 , 08-Апр-14, (18) // А вы оставьте здесь адреса своих серверов , XoRe (ok), 13:31 , 08-Апр-14, (38) // Да, вон там как раз пара сервисов уже Для проверки, так сказать, сколько ключей, Аноним (-), 13:58 , 08-Апр-14, (46) ничё себе чувак губу раскатал, гарантии ему нужны Хочешь гарантию - покупай мик, Нанобот (ok), 16:42 , 08-Апр-14, (103) –1 Ещё увидел в рекомендациях заново по-возможности сгенерировать сертификаты , Наивный чукотский юноша (?), 12:19 , 08-Апр-14, (27) // Логично Потому что если у тебя тихой сапой уперли пароли и ключи - однажды на с, Аноним (-), 23:24 , 08-Апр-14, (158) А что случится после того как злоумышленник вытянет из сервера закрытый ключ , Аноним (-), 14:04 , 08-Апр-14, (52) –1 // А вот тогда и увидишь, как сервак плавно-нах становится не твоим , Аноним (-), 22:02 , 08-Апр-14, (142) +1 // это было бы круто, но я этого не увижу поскольку оргмеры рулят, потому и спрашив, Аноним (-), 14:13 , 09-Апр-14, (190) ssh -VOpenSSH_5 5p1 Debian-6 squeeze4, OpenSSL 0 9 8o 01 Jun 2010 Цифродрочep, Аноним (-), 14:20 , 08-Апр-14, (60) +1 // Ты айпишник сказать забыл, чтобы мы могли посмотреть сколько ключей и паролей уд, Аноним (-), 14:25 , 08-Апр-14, (62) +1 // Тебя посодют, а ты не воруй , ryoken (?), 15:35 , 08-Апр-14, (86) –1 // Чего-то не похоже на айпишник , Аноним (-), 18:37 , 08-Апр-14, (118) Придётся подсказать специалисту, который внимательно прочитал CVE -- 127 14 98 2, Michael Shigorin (ok), 00:26 , 09-Апр-14, (162) +1 // Надеетесь что все вокруг глупые и не умеют считать битовые маски , Аноним (-), 10:42 , 09-Апр-14, (175) Отнюдь , Michael Shigorin (ok), 19:17 , 09-Апр-14, (192) В nginx под centos используется статическая линковка с openssl Брали из репозита, Аноним (-), 15:43 , 08-Апр-14, (88) Ой не верю что программист этого дела типа случайно забыл там проверку поставить, хрюкотающий зелюк (?), 15:50 , 08-Апр-14, (90) +1 // Гонорарчик , Аноним (-), 15:53 , 08-Апр-14, (91) +4 // Ну или угрозы , Аноним (-), 22:40 , 08-Апр-14, (150) Вообще-то из FreeBSD только 10 0 уязвимо root as2 uname -r9 2-RELEASE-p3ro, Аноним (-), 17:53 , 08-Апр-14, (110) –1 https github com openssl openssl commit 4817504d069b4c5082161b02a22116ad75f822, Аноним (-), 18:14 , 08-Апр-14, (113) // https www youtube com watch v 3jQoAYRKqhghttp phk freebsd dk _downloads FOSD, Аноним (-), 18:17 , 08-Апр-14, (114) если я правильно понял, этот баг будет проявляться только через ssl-соединения, , Нанобот (ok), 20:13 , 08-Апр-14, (125) –1 Вот что происходит, когда для разработки криптографических библиотек используетс, Аноним (-), 21:57 , 08-Апр-14, (137) –2 // Он ведь тоже на си, Аноним (-), 22:33 , 08-Апр-14, (147) Боюсь, SSL TLS на чем не реализуй, а получишь не секурити а буй , Аноним (-), 23:27 , 08-Апр-14, (159) // Кстати, GnuTLS как нельзя лучше подходит под это определение , iZEN (ok), 11:53 , 09-Апр-14, (182) –3 // Ты не напишешь ничего безопасного ни на каком ЯП Ни с какой библиотекой Потому, Аноним (-), 12:08 , 09-Апр-14, (185) +2 Ты рискнешь что-нибудь съесть с той грядки Смело , Ytch (ok), 23:35 , 09-Апр-14, (193) +1 А безопасный ЯП типа rust с его garbage collector и прочим вообще позволит сказо, Аноним (-), 12:07 , 09-Апр-14, (184) // Rust использует линейные типы с отслеживанием скопа вместо сборки мусора Погугли, Аноним (-), 02:00 , 10-Апр-14, (194) // А один хрен Автоматика в таких вещах только мешается и гробит предсказуемость , Аноним (-), 09:04 , 10-Апр-14, (200) у тебя руки отпали, ты надеешься на языковую магию ок, возьми D, сделай scoped , arisu (ok), 12:38 , 10-Апр-14, (207) +1 Ну так в чём проблема По выходу из скопа, данные, если уникальный указатель не , Аноним (-), 16:30 , 10-Апр-14, (212) +1 ухнифигасебе щас еще тестят StrongSWAN и либресван, есть шансы что там - тоже, Аноним (-), 01:13 , 09-Апр-14, (163) Во FreeBSD закрыли этот ваш баг в SSL http www freebsd org security advisories, iZEN (ok), 11:53 , 09-Апр-14, (181) –2 // Вот только стоит помнить что клиент мог получить кусок памяти сервера, а сервер , Аноним (-), 12:10 , 09-Апр-14, (186) // Так это стандартная процедура, выполняемая часто и регулярно Залог безопасности, iZEN (ok), 10:26 , 10-Апр-14, (203) // ну да, у бсдоидов смена ключей 8212 процедура чуть ли не ежедневная а то они, arisu (ok), 12:47 , 10-Апр-14, (208) +3 Вброшу-ка сюда пару ссылок Theo de Raadt OpenSSL has exploit mitigation counte, Аноним (-), 02:07 , 10-Апр-14, (195) // Отлично, эти умники перехватили malloc но сделать его в виде как ожидается от , Аноним (-), 09:07 , 10-Апр-14, (201) // Если я правильно понял, то почесались Но потом за-ifdef-или защиту и забыли про, Xaionaro (ok), 14:47 , 10-Апр-14, (211) –2 Странное дело - сервис проверки соединения на его уязвимость указанный в стать, Мавр (?), 10:18 , 10-Апр-14, (202) Спасибо новости, и генту-майнтейнерам, уже запилили ебилд , Аноним (-), 12:18 , 10-Апр-14, (204) –1 Following up on the CVE-2014-0160 vulnerability, heartbleed We ve created some , Аноним (-), 13:17 , 10-Апр-14, (209) Я правильно понимаю, что если на моем сервере openssl 0 9 8e-27 el5_10 1, то дан, billybons2006 (ok), 11:07 , 11-Апр-14, (214) +1 // тебя -- точно нет , V (??), 17:26 , 11-Апр-14, (216) +1 // Ну и ладушки Centos 5 рулит А ведь совсем недавно обновлялся , billybons2006 (ok), 19:18 , 11-Апр-14, (217) –1 1,2,3,5,6,14,16,18,27,52,60,88,90,110,113,125,137,163,181,195,202,204,209,214

Сообщения

[Сортировка по времени | RSS]

	19. "В OpenSSL обнаружена критическая уязвимость, которая может п..."	+1 +/–
	Сообщение от Адекват (ok), 08-Апр-14, 12:02
	> всегда говорил, что https не нужно, не нужно, не нужно :) Да, особенно на всяких сбербанк-онлайнах, там пароли нужно вообще открытым текстом передавать. Интересно как уважаемый оппонент предлагает защищать передаваемые данные от подглядывания со стороны например провайдера ?
	Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

	29. "В OpenSSL обнаружена критическая уязвимость, которая может п..."	–8 +/–
	Сообщение от 1 (??), 08-Апр-14, 12:36
	Шифровать ДО передачи по инету.
	Ответить | Правка | Наверх | Cообщить модератору

	40. "В OpenSSL обнаружена критическая уязвимость, которая может п..."	+12 +/–
	Сообщение от Анонем (?), 08-Апр-14, 13:44
	А ты думаешь, как ssl работает?
	Ответить | Правка | Наверх | Cообщить модератору

	119. "В OpenSSL обнаружена критическая уязвимость, которая может п..."	+/–
	Сообщение от Аноним (-), 08-Апр-14, 18:53
	еще раз зашифровать)
	Ответить | Правка | Наверх | Cообщить модератору

	63. "В OpenSSL обнаружена критическая уязвимость, которая может п..."	+6 +/–
	Сообщение от Аноним (-), 08-Апр-14, 14:28
	> Шифровать ДО передачи по инету. MS-виндоботы поражают воображение.
	Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

	31. "В OpenSSL обнаружена критическая уязвимость, которая может п..."	–5 +/–
	Сообщение от t28 (?), 08-Апр-14, 12:40
	> Интересно как уважаемый оппонент предлагает защищать передаваемые данные от подглядывания > со стороны например провайдера ? Раньше на всяких "Клиент-банках" и без ССЛ-я всё как-то работало, прикинь!
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	34. "В OpenSSL обнаружена критическая уязвимость, которая может п..."	+3 +/–
	Сообщение от XoRe (ok), 08-Апр-14, 12:43
	>> Интересно как уважаемый оппонент предлагает защищать передаваемые данные от подглядывания >> со стороны например провайдера ? > Раньше на всяких "Клиент-банках" и без ССЛ-я всё как-то работало, прикинь! До червя морриса вообще о многих вещах не парились, прикинь :)
	Ответить | Правка | Наверх | Cообщить модератору

	105. "В OpenSSL обнаружена критическая уязвимость, которая может п..."	+1 +/–
	Сообщение от ваы (?), 08-Апр-14, 16:49
	ага, потому что было отдельное диалап подключение для каждого банка)
	Ответить | Правка | К родителю #31 | Наверх | Cообщить модератору

	33. "В OpenSSL обнаружена критическая уязвимость, которая..."	+1 +/–
	Сообщение от arisu (ok), 08-Апр-14, 12:42
	а, то есть твой говнобанк вот так и валит нешифрованый поток в соединение, надеясь на https? тогда у меня для тебя очень плохие новости…
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	35. "В OpenSSL обнаружена критическая уязвимость, которая..."	–2 +/–
	Сообщение от Адекват (ok), 08-Апр-14, 12:46
	> а, то есть твой говнобанк вот так и валит нешифрованый поток в > соединение, надеясь на https? тогда у меня для тебя очень плохие > новости… А что, кто-то делает по другому :) ? А именно - вообще не использует https, принципиально. И какими же средствами обеспечивается защита соединения ? Для домохозяек все так же прозрачно как и в случае https ? - то есть не нужно ставить никакого стороннего софта ?
	Ответить | Правка | Наверх | Cообщить модератору

	36. "В OpenSSL обнаружена критическая уязвимость, которая..."	–2 +/–
	Сообщение от arisu (ok), 08-Апр-14, 12:54
	> А что, кто-то делает по другому :) ? да, все нормальные люди шифруют сами, секретными ключами. впрочем, ты с домохозяйками можешь не заморачиваться, вам без разницы. не понимаю, правда, зачем тогда спич о какой-то «безопасности». это, видимо, ты просто слово крутое услышал — и пихаешь куда ни попадя.
	Ответить | Правка | Наверх | Cообщить модератору

	58. "В OpenSSL обнаружена критическая уязвимость, которая..."	–1 +/–
	Сообщение от Адекват (ok), 08-Апр-14, 14:15
	>> А что, кто-то делает по другому :) ? > да, все нормальные люди шифруют сами, секретными ключами. И какими же средствами обеспечивается защита соединения ? В ручную что-ли ? каждый GET и POST пропускать через шифровальную машину, которая не-openssl ? )))
	Ответить | Правка | Наверх | Cообщить модератору

	64. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от balda (?), 08-Апр-14, 14:28
	Примерно так. Только нет наружу соединения с таким https. Шифровка/дешифровка идет на отдельных серверах, не имеющих прямого выхода в инет.
	Ответить | Правка | Наверх | Cообщить модератору

	70. "В OpenSSL обнаружена критическая уязвимость, которая..."	+1 +/–
	Сообщение от Аноним (-), 08-Апр-14, 14:49
	А вот видимо и сотрудники банков появились, видимо. При том ник сам за себя говорит. Что еще веселее - ник не врет. Понимание процесса - на уровне питекантропа, ффтыкающего на микроволновку.
	Ответить | Правка | Наверх | Cообщить модератору

	73. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от Адекват (ok), 08-Апр-14, 14:59
	> А вот видимо и сотрудники банков появились, видимо. При том ник сам > за себя говорит. Что еще веселее - ник не врет. Понимание > процесса - на уровне питекантропа, ффтыкающего на микроволновку. Мне одно не понятно - банк как сможет расшифровать ваши данные ? Нет, если конечно пойти в банк, написать заявление на изготовление ключа, недели за две вам его сделают, вы придете домой, установите КриптоПро (купив естественно, банки по другому не умеют), по***авшись с установкой ключа, купив dial-up модем для связи с банком - тогда да, без https будет вам шифрованное счастье - это хорошо для организаций но для домашних пользователй с динамическим ip - НА*ЕР не нужно. Вы бы хоть пример банка привели, который работает по вашей схеме - подключиться и посмотреть как оно работает :)))
	Ответить | Правка | Наверх | Cообщить модератору

	87. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от qux (ok), 08-Апр-14, 15:38
	> Мне одно не понятно - банк как сможет расшифровать ваши данные ? > Нет, если конечно пойти в банк, написать заявление на изготовление ключа, > недели за две вам его сделают, вы придете домой, установите КриптоПро > (купив естественно, банки по другому не умеют), по***авшись с установкой ключа, > купив dial-up модем для связи с банком - тогда да, без > https будет вам шифрованное счастье - это хорошо для организаций но > для домашних пользователй с динамическим ip - НА*ЕР не нужно. > Вы бы хоть пример банка привели, который работает по вашей схеме - > подключиться и посмотреть как оно работает :))) Генеришь ключи, относишь на бумажечке. Покупать ничего не нужно. Есть онлайн-версия на жабе, правда, с некоторых требует только сановскую.
	Ответить | Правка | Наверх | Cообщить модератору

	122. "В OpenSSL обнаружена критическая уязвимость, которая..."	–1 +/–
	Сообщение от Василий (??), 08-Апр-14, 19:26
	> Генеришь ключи, относишь на бумажечке. Покупать ничего не нужно. Есть онлайн-версия на жабе, правда, с некоторых требует только сановскую. Ааа, это тот банк (та система), где ключи ещё должны лежать на диске A: или B:? И линуксовым/маковским юзерам приходится извращаться и создавать каталоги с таким именем в корне?
	Ответить | Правка | Наверх | Cообщить модератору

	127. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от Аноним (-), 08-Апр-14, 20:27
	Сейчас в этих банках смарткарты и токены под собственным брендом, а линукс и мак пользователи все также идут лесом как и раньше. Причем, выбор банка в организации никак не связан с прямотой его работы. Начальник сказал - все. У него там какие-то скидки или просто по знакомству попросили. Для себя же есть банки с двойной аунтификацией пароль/мобила. Только на моем сабжевую дыру еще не залатали, лохопеды.
	Ответить | Правка | Наверх | Cообщить модератору

	155. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от qux (ok), 08-Апр-14, 23:19
	> Ааа, это тот банк (та система), где ключи ещё должны лежать на > диске A: или B:? > И линуксовым/маковским юзерам приходится извращаться и создавать каталоги с таким именем > в корне? Нет, лежит где положишь. Система кажись эта, тут и демка какая-то есть: http://www.csltd.com.ua/ru/products/for-banking/ifobs.html
	Ответить | Правка | К родителю #122 | Наверх | Cообщить модератору

	92. "В OpenSSL обнаружена критическая уязвимость, которая..."	–2 +/–
	Сообщение от Аноним (-), 08-Апр-14, 16:00
	Ох, еще один питекантроп. Блин, народ, куда у нас модно посылать питекантропов, если они не совсем безнадежные? В плане криптографических FAQ, доступных для начального понимания даже питекантропам. И да, моя схема - это какая? Я вроде не настолько крутой человек чтобы свои схемы шифрования придумывать, на такие навороты у меня квалификации не хватит, имхо. Я могу более-менее осмысленно выбирать существующие схему и/или комбинировать их для достижения нужных свойств. А мне почему-то приписывают создание каких-то схем...
	Ответить | Правка | К родителю #73 | Наверх | Cообщить модератору

	215. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от Michael Shigorin (ok), 11-Апр-14, 14:52
	> Ох, еще один питекантроп. Блин, народ, куда у нас модно посылать питекантропов, > если они не совсем безнадежные? В плане криптографических FAQ, доступных для > начального понимания даже питекантропам. Ко криптокантропам, очевидно.
	Ответить | Правка | Наверх | Cообщить модератору

	78. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от arisu (ok), 08-Апр-14, 15:16
	> И какими же средствами обеспечивается защита соединения ? для тебя, кретина, ещё раз повторяю: *соединение* защищать не надо. дальше повторяй это себе сам.
	Ответить | Правка | К родителю #58 | Наверх | Cообщить модератору

	93. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от Аноним (-), 08-Апр-14, 16:02
	> для тебя, кретина, ещё раз повторяю: *соединение* защищать не надо. дальше повторяй > это себе сам. К сожалению, эти люди иной раз лезут в области где подразумевается передача ценных данных.
	Ответить | Правка | Наверх | Cообщить модератору

	94. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от arisu (ok), 08-Апр-14, 16:06
	> К сожалению, эти люди иной раз лезут в области где подразумевается передача > ценных данных. это да. причём они даже не понимают, насколько они ничего не понимают. эффект Даннинга-Крюгера.
	Ответить | Правка | Наверх | Cообщить модератору

	97. "В OpenSSL обнаружена критическая уязвимость, которая..."	+1 +/–
	Сообщение от Аноним (-), 08-Апр-14, 16:09
	> да, все нормальные люди шифруют сами, секретными ключами. впрочем, ты с домохозяйками > можешь не заморачиваться, вам без разницы. не понимаю, правда, зачем тогда > спич о какой-то «безопасности». это, видимо, ты просто слово крутое услышал > — и пихаешь куда ни попадя. про крутые слова смешно читать от человека, постоянно использующего "спич"
	Ответить | Правка | К родителю #36 | Наверх | Cообщить модератору

	98. "В OpenSSL обнаружена критическая уязвимость, которая..."	+1 +/–
	Сообщение от arisu (ok), 08-Апр-14, 16:12
	> про крутые слова смешно читать от человека, постоянно использующего "спич" а дуракам всегда смешно. потому что дураки.
	Ответить | Правка | Наверх | Cообщить модератору

	37. "В OpenSSL обнаружена критическая уязвимость, которая..."	–6 +/–
	Сообщение от arisu (ok), 08-Апр-14, 12:55
	p.s. кретин, защищать надо не «соединение», а данные. иди, осмысливай.
	Ответить | Правка | К родителю #35 | Наверх | Cообщить модератору

	39. "В OpenSSL обнаружена критическая уязвимость, которая..."	+1 +/–
	Сообщение от Stellarwind (?), 08-Апр-14, 13:43
	Если соединение скомпрометировано, то данным можно тоже помахать ручкой, т.к. по этому соединению вам может прилететь все что угодно, внешне "похожее" на сайт банка.
	Ответить | Правка | Наверх | Cообщить модератору

	42. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от arisu (ok), 08-Апр-14, 13:56
	оно не «если», оно однозначно. https — иллюзия безопасности, и поэтому оно вредно. равно как и пользование «сайтами банков». увы.
	Ответить | Правка | Наверх | Cообщить модератору

	59. "В OpenSSL обнаружена критическая уязвимость, которая..."	–1 +/–
	Сообщение от Адекват (ok), 08-Апр-14, 14:18
	> оно не «если», оно однозначно. https — иллюзия безопасности, Если пользоваться самоподписаными сертификатами, или же давай пруф на статью которая доказывает что https с валидными сертификатами - пустое место и не дает никакой защиты вообще. Нет вы на него посмотрите - все пользуются (ну почти все) https, а этот крутой чувак такой эксперД, что одному "и так все понятно" что https - полная ерунда :)))))
	Ответить | Правка | Наверх | Cообщить модератору

	72. "В OpenSSL обнаружена критическая уязвимость, которая..."	+2 +/–
	Сообщение от Аноним (-), 08-Апр-14, 14:54
	> что https с валидными сертификатами - пустое место Гуглить про comodohacker, DigiNotar и какими сайтами умел представляться этот хакерь, собственно. Хинт: он себе сертификаты выписал на Windows Update, Skype, Mozilla, Google и кого я там еще забыл. Понятно что после такого демарша Diginotar'у как CA пришел пиндец, но это не отменяет того факта что некоторое время у чувака были валидные сертификаты, удостоверяющие что вот этот хрен - гугл, мозилла и скайп вместе взятые. И т.к. они подписаны "доверяемым CA" - у браузера никаких вопросов по этому поводу не возникало. Да-да, в TLS/SSL любой CA из длиииинного дефолтного списка "доверяемых" CA может удостоверить кому угодно что угодно, по желанию своей левой пятки. Некоторые обнаглели настолько что уже почти в открытую выписывают поддельные серты производителям IDSок для "инспектирования" (==взлома) SSL-соединений. > никакой защиты вообще. А какая защита, если любой из кучи CA может выписать Васе-комодохакеру или Пете-агенту-АНБ сертификат того что это не Вася и не Петя, а Гугл и Мозилла, вместе со скайпом, гмылом и фэйсбучиком? > Нет вы на него посмотрите - все пользуются (ну почти все) https, Миллионы мух не могут ошибаться, да?
	Ответить | Правка | Наверх | Cообщить модератору

	77. "В OpenSSL обнаружена критическая уязвимость, которая..."	–4 +/–
	Сообщение от Адекват (ok), 08-Апр-14, 15:15
	> Хинт: он себе сертификаты выписал на Windows Update, Skype, Mozilla, Google Но сейчас то никто его трюк повторить не сможет, так ?
	Ответить | Правка | Наверх | Cообщить модератору

	96. "В OpenSSL обнаружена критическая уязвимость, которая..."	+4 +/–
	Сообщение от Аноним (-), 08-Апр-14, 16:09
	> Но сейчас то никто его трюк повторить не сможет, так ? Нет, не так. А что принципиально изменилось с того момента? Не вижу что помешает повторению этой ситуации. Особенно учитывая что некоторые CA чуть ли не в открытую выписывают серты для взлома SSL IDSками анализирующими трафф.
	Ответить | Правка | Наверх | Cообщить модератору

	107. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от masudi (ok), 08-Апр-14, 17:00
	>> Хинт: он себе сертификаты выписал на Windows Update, Skype, Mozilla, Google > Но сейчас то никто его трюк повторить не сможет, так ? откуда у тебя такие выводы?
	Ответить | Правка | К родителю #77 | Наверх | Cообщить модератору

	109. "В OpenSSL обнаружена критическая уязвимость, которая..."	–3 +/–
	Сообщение от Anonym2 (?), 08-Апр-14, 17:18
	> А какая защита, если любой из кучи CA может выписать Васе-комодохакеру или > Пете-агенту-АНБ сертификат того что это не Вася и не Петя, а > Гугл и Мозилла, вместе со скайпом, гмылом и фэйсбучиком? Это не проблема HTTPS. Проблема в некоторых CA. Кто-нибудь например может выдавать свой сертификат. Самоподписанный. В конторе лично. (при чём всем желающим). Мозилловские браузеры могут иметь предустановленные сертификаты для доступа к google. И т д. В остальных случаях могут использоваться разные многочисленные CA. Иногда способствующие выявлению...
	Ответить | Правка | К родителю #72 | Наверх | Cообщить модератору

	117. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от Аноним (-), 08-Апр-14, 18:30
	> Это не проблема HTTPS. Проблема в некоторых CA. Как бы это сказать? Толпа прихлебателей, которым либа/браузер/... по дефолту "доверяют", хотя на самом деле я этих удодов в первый раз в жизни вижу и уж тем более не имею никаких оснований им "доверять" - оптимизма совершенно не внушает. Поскольку могут "мамой клянус!" удостоверить что вон тот хрeн с горы - гугл и мозилла, скайп, фэйсбук или мой собственный сайт, etc. Просто потому что им ничто не мешает это сделать, бабло побеждает зло, ничего личного это бизнес, ну и все такое прочее. > Кто-нибудь например может выдавать свой сертификат. Самоподписанный. В конторе лично. > (при чём всем желающим). Может. А если в браузере прописано 100500 CA, самозванец может выписать сертификат похожий на вид на самоподписанный, заверить его в одном из 100500 CA, завернуть народ на левый сервер и ХРЕН КТО ЗАМЕТИТ что что-то идет не так. > В остальных случаях могут использоваться разные многочисленные CA. > Иногда способствующие выявлению... Уточним: разные многочисленные CA могут выписывать что угодно. Любой из них. Поэтому если некто выпишет завтра Васе сертификат на то что это мозилла и фэйсбук - вычислить негодяев без изучения сертификата специалистом под микроскопом не получится. Обычные юзери вообще без шансов. Гуру конечно может фингерпринт проверить, но врядли вы их наизусть заучиваете, да и есть легитимные поводы по которым сертификат может измениться, например истечение его срока годности.
	Ответить | Правка | Наверх | Cообщить модератору

	120. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от Аноним (-), 08-Апр-14, 19:02
	> Миллионы мух не могут ошибаться, да? Кем доказано, что речь идет про го*но?
	Ответить | Правка | К родителю #72 | Наверх | Cообщить модератору

	130. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от Аноним (-), 08-Апр-14, 21:10
	Так проблема-то не в HTTPS а инфраструктуре CA.
	Ответить | Правка | К родителю #72 | Наверх | Cообщить модератору

	146. "В OpenSSL обнаружена критическая уязвимость, которая..."	+1 +/–
	Сообщение от Аноним (-), 08-Апр-14, 22:26
	> Так проблема-то не в HTTPS а инфраструктуре CA. Проблем несколько. 1) PKI - лохоразвод. Сколь-нибудь надежно это может быть только если CA вообще один. Лично ваш. И сколько реально существующих применений PKI именно так работают? Понятно почему это лохоразвод? Потому что в безопасном и доверяемом виде не используется почти никогда. Вместо этого предлагается доверять толпе каких-то левых контор. А вы точно доверяете всем этим левым шарагам? У них там "ничего личного, это бизнес". 2) Протокол наворочен до ж...ы! Это кроме всего прочего означает кучу багов и в разных фичах оного и в либе. 3) Валидация сертификатов, особенно запоминание и контроль смены фингерпринта не делается в нормальном виде чуть менее чем никем. Большинство софта вообще класть хотело какой там сертификат у сервера, что он изменился, и что это вообще левый сервер, который радостно качает шлангом расшифрованные данные и гоняет их между вами и тем сервером куда вы хотели на самом деле пойти. 4) И в либах и в протоколе уйма легаси. И не то чтобы кто-то сильно парился по поводу дефолтов. А еще поддерживается 100500 алгоритмов. Включая древний и несекурный шит, "для совместимости". Да еще с ремотой согласовывается, при том какие там дефолты - полная лотерея. При этом шифрование как бы есть, но то что используются сколь-нибудь секурные алгоритмы - далеко не факт. А много ли авторов софта заморочилось тем чтобы заказать наиболее стойкие алгоритмы как наиболее приоритетные? Ах, чуть более чем никто? Ну вот как-то так оно и работает. В смысле, если вы Берштейн, или Шнайер - вы может и сможете этим безопасно пользоваться. Только оно вам нафиг не упало, потому что вы сделаете свой алгоритм, в разы лучше. А если вы простой смертный - ну, удачи использовать SSL/TLS секурно, в том числе и в виде OpenSSL. Нет, криптография конечно ляпов не прощает, но в SSL/TLS и OpenSSL есть вообще все для того чтобы реализатор пролошился хренадцать раз подряд, если он не профессиональный криптограф.
	Ответить | Правка | Наверх | Cообщить модератору

	145. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от Аноним (-), 08-Апр-14, 22:16
	> Если соединение скомпрометировано, то данным можно тоже помахать ручкой, Вообще-то, криптография ставит своей задачей в том числе и передачу данных по ненадежным каналам. Но да, такой примитивизм питекантропского мышления просто умиляет.
	Ответить | Правка | К родителю #39 | Наверх | Cообщить модератору

	45. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от crypt (ok), 08-Апр-14, 13:57
	сложно сказать, кто тут более кретин. множество сетевых атак как раз строится на неверифицированных соединениях.
	Ответить | Правка | К родителю #37 | Наверх | Cообщить модератору

	48. "В OpenSSL обнаружена критическая уязвимость, которая..."	–2 +/–
	Сообщение от arisu (ok), 08-Апр-14, 14:00
	любая идея защищать *соединиение*, а не *данные* — придумана идиотами для успокоения идиотов.
	Ответить | Правка | Наверх | Cообщить модератору

	55. "В OpenSSL обнаружена критическая уязвимость, которая..."	–3 +/–
	Сообщение от Аноним (-), 08-Апр-14, 14:10
	> любая идея защищать *соединиение*, а не *данные* — придумана идиотами для успокоения идиотов. Какое хорошее описание OpenSSL и тех кто им пользуется.
	Ответить | Правка | Наверх | Cообщить модератору

	81. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от arisu (ok), 08-Апр-14, 15:21
	>> любая идея защищать *соединиение*, а не *данные* — придумана идиотами для успокоения идиотов. > Какое хорошее описание OpenSSL и тех кто им пользуется. хинт: OpenSSL — это ещё и библиотека алгоритмов шифрования. которые можно использовать для шифрования данных *внутри* *своего* *софта*, до передачи их куда-либо. то, что API у него наглухо неадекватный, и чтобы ним правильно пользоваться, надо нехило понимать что делаешь — это да. ну так в криптографии вообще очень полезно понимать, что делаешь.
	Ответить | Правка | Наверх | Cообщить модератору

	99. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от Аноним (-), 08-Апр-14, 16:24
	> хинт: OpenSSL — это ещё и библиотека алгоритмов шифрования. которые можно использовать > для шифрования данных *внутри* *своего* *софта*, до передачи их куда-либо. Это да, но понимаешь ли, там SSL/TLS есть, и вон то стадо долбодятлов начинает верить что оно их от всего защитит. При этом долбодятлы ни в зуб ногой какие там есть алгоритмы, для чего и чем отличаются, как выглядит TLS handshake, etc (честно говоря протокол настолько наворочен что ). ИЧСХ большинство софта как-то так пишется теми кто в криптографии ни разу не эксперт. Насколько этому софту наличие либы OpenSSL помогает - ну ты понял. > криптографии вообще очень полезно понимать, что делаешь. Ну вот дяденька Берштейн в курсе и поэтому вывесил такоe API в котором даже долбодятлу будет сложно прострелить себе пятку. Отличный подход - дать простую функцию для дерга. А те кто понимает - может подергать составные части, если считает себя достаточно квалифицированным. Ну вот как-то так это и надо делать.
	Ответить | Правка | Наверх | Cообщить модератору

Часть нити удалена модератором

	148. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от Аноним (-), 08-Апр-14, 22:38
	Ну я понимаю Кэпа. Иногда очень хочется честно сказать кретину что он - кретин. Это выглядит как наезд, но на самом деле это лишь констатация печального факта, не более. В частности, если некто смеет высказывать какие-то мнения по криптографии, подразумевается что гражданин владеет тематикой как минимум на базовом уровне. То-есть прочел FAQ'и и осознал основные определения, алгоритмы и прочая, типовые варианты применений, etc. Чем отличается криптография с публичным ключом от симметричного шифрования, etc. Какие алгоритмы бывают, чем отличаются. Что секурно, а что нет. А когда дублан думает что "о, эта мегасуперлиба меня защитит от всего", а авторы либы фигарят на своей волне и вообще откровенно ламерят местами  - результат получается достаточно печален.
	Ответить | Правка | К родителю #146 | Наверх | Cообщить модератору

	131. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от Аноним (-), 08-Апр-14, 21:11
	> любая идея защищать *соединиение*, а не *данные* — придумана идиотами для успокоения > идиотов. Соединение и есть данные. Просвещайся, неуч.
	Ответить | Правка | К родителю #48 | Наверх | Cообщить модератору

	149. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от Аноним (-), 08-Апр-14, 22:40
	> Соединение и есть данные. Совершенно не обязательно. Могут быть и служебные сущности, например. Но грамотеи же не читали описание хоть того же TLS, правда?
	Ответить | Правка | Наверх | Cообщить модератору

	68. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от Аноним (-), 08-Апр-14, 14:45
	> тогда у меня для тебя очень плохие новости… Еще более плохая новость: обезьяны которые пишут этот банковский крап обычно не смогут написать даже нечто с уровнем защищенности TLS. Если кто не понял: Houston, we have a problem, http://www.theguardian.com/commentisfree/2013/sep/05/governm... Да, сейчас с безопасностью в интернете *плохо*. SSL/TLS - большой фэйк, но те индусы кто пишут клиент-банки - еще хуже и не напишут даже такое.
	Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

	83. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от arisu (ok), 08-Апр-14, 15:23
	это совершенно не повод считать https какой-то там «защитой».
	Ответить | Правка | Наверх | Cообщить модератору

	101. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от Аноним (-), 08-Апр-14, 16:30
	> это совершенно не повод считать https какой-то там «защитой». Спасибо, я в курсе свойств SSL/TLS и мне они не нравятся. За все это я и не жалую openssl. Ее авторы тоже те еще бакланы, которые могут подложить весьма неожиданных сюрпризов, ибо те еще ламеры в криптографии, судя по наблюдаемым продолбам. По крайней мере, юзануть RDRAND совсем без подмешивания сторонней энтропии - это факин шит, товарищи!!!
	Ответить | Правка | Наверх | Cообщить модератору

	136. "В OpenSSL обнаружена критическая уязвимость, которая..."	–2 +/–
	Сообщение от Аноним (-), 08-Апр-14, 21:55
	>> это совершенно не повод считать https какой-то там «защитой». > Спасибо, я в курсе свойств SSL/TLS и мне они не нравятся. За > все это я и не жалую openssl. Ее авторы тоже те > еще бакланы, которые могут подложить весьма неожиданных сюрпризов, ибо те еще > ламеры в криптографии, судя по наблюдаемым продолбам. По крайней мере, юзануть > RDRAND совсем без подмешивания сторонней энтропии - это факин шит, товарищи!!! Пожалуйста, предложи криптографический casino-grade (как на колесах рулетки пишут) аппаратный ген энтропии стоимостью 2 бакса - и к тебе тут же выстроится двухмиллионная очередь. Озолотишься.
	Ответить | Правка | Наверх | Cообщить модератору

	151. "В OpenSSL обнаружена критическая уязвимость, которая..."	+1 +/–
	Сообщение от Аноним (-), 08-Апр-14, 22:44
	> Пожалуйста, предложи криптографический casino-grade (как на колесах рулетки пишут) С казино известно много приколов. Как минимум одному гражданину запретили вход во многие казино лишь за то что он набирал статистику по выпадению номеров и потом (вы только подумайте, какой негодяй) ставил на наиболее вероятные номера, умудряясь разувать казино. Из-за некоторой неидеальности реальных рулеток, распределение "casino-grade (как на колесах рулетки пишут)" может несколько отличаться от идеала. В лучшем случае - достаточно для того чтобы казино начало пролетать, если кто статистику накопил и асимметрию вычислил :) > аппаратный ген энтропии стоимостью 2 бакса - Даже дешевле можно. Тепловой шум, etc. > и к тебе тут же выстроится двухмиллионная очередь. Озолотишься. Понятно, единственное что вы умеете - ламерить в темах в которых не разбираетесь.
	Ответить | Правка | Наверх | Cообщить модератору

	178. "В OpenSSL обнаружена критическая уязвимость, которая..."	+/–
	Сообщение от Sem (??), 09-Апр-14, 11:44
	> это совершенно не повод считать https какой-то там «защитой». Хватит уже изголяться. Ты альтернативу предложи.
	Ответить | Правка | К родителю #83 | Наверх | Cообщить модератору

	57. "В OpenSSL обнаружена критическая уязвимость, которая может п..."	+/–
	Сообщение от Аноним (-), 08-Апр-14, 14:14
	> Да, особенно на всяких сбербанк-онлайнах, там пароли нужно вообще открытым > текстом передавать. Ну передашь ты его шифрованным, только окажется что это был не тот сервер. Но никто и не пикнет. > Интересно как уважаемый оппонент предлагает защищать передаваемые данные от > подглядывания со стороны например провайдера ? Ну ок, выпишет некто их 100500CA сертификат прову и будет он бампать SSL. При этом браузер или кто там еще и не пикнет - а что, валидный сертификат от доверяемой CA, ничего не знаю!
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	71. "В OpenSSL обнаружена критическая уязвимость, которая может п..."	+1 +/–
	Сообщение от Адекват (ok), 08-Апр-14, 14:53
	>> Да, особенно на всяких сбербанк-онлайнах, там пароли нужно вообще открытым >> текстом передавать. > Ну передашь ты его шифрованным, только окажется что это был не тот > сервер. Но никто и не пикнет. Так, допустим некто организовал атаку M-I-M и стал через себя траффик пропускать, допустим без шифрование соединения. Перехватчики перехватили мой хеш пароля и передают его банку, и банк его принимает, так ? И что до сих пор не придумано никаких механизмов защиты от таких "кулхацкеров" ? Насколько я знаю, даже самая простая авторизация с применением шифрованного пароля имеет небольшую защиту: хеш пароля это не только md5 (для примера) от "пароля", а md5 от {uniqid}:{password}:{что-то еще} где uniqid - уникальный id для каждой сессии, ну станет удаленная сторона для меня проксей, но сама то рулить сессией tcp не сможет. А хеш пароля им ничего не даст, вообще. > Ну ок, выпишет некто их 100500CA сертификат прову Кто выпишет ?, давайте по конкретней !
	Ответить | Правка | Наверх | Cообщить модератору

	74. "В OpenSSL обнаружена критическая уязвимость, которая может п..."	+/–
	Сообщение от Аноним (-), 08-Апр-14, 15:06
	> Так, допустим некто организовал атаку M-I-M и стал через себя траффик пропускать, > допустим без шифрование соединения. Зачем? Он ставит свой сервак, который "я, типа, банковский сервер". SSL делается до него. Если сертификат этого сервера хавается за чистую монету - нет проблем. Клиент начинает гонять данные. Данные расшифровываются. Изучаются и меняются. Поднимается SSL конекция к настоящему банку, ему отправляются данные. Для клиента все выглядит как будто он просто поработал с банковским сервером. А то что его немного запроксировали и изучили и/или пропатчили данные - нуу... вот такая вот хорошая защита в SSL, что в ряде случаев такое западло обнаружено и зарублено не будет. Потому что из 100500 доверяемых CA кто угодно может выписывать сертификаты на что угодно. В том числе и сертификат вон тому левому серверу на то что это, типа, сервер банка, а вовсе и не левый сервер нифига. > Перехватчики перехватили мой хеш пароля и передают > его банку, и банк его принимает, так ? Для начала, совсем не факт что там хэш а не просто пароль в чистом виде. Если кто уповал на SSL - могли и в чистом виде отправить. А даже если и не уповали - совсем не факт что они крутые криптографы и нигде не налажали. Если ты просто посылаешь хэш пароля - это ничем не лучше чем посылка пароля. А какая атакующему разница, слать пароль или его хэш? :) > И что до сих пор не придумано никаких механизмов защиты от таких > "кулхацкеров" ? Придумано то много чего. Например чтобы не слать пароль можно делать challenge-response. При этом сначала сервер кидает рандом, а клиент считает response=hash(random, password) и шлет что получилось на сервер. Сервер считает hash(random, password) и если это совпало с тем что прислал клиент - ок, клиент знал пароль. Это если упомянутый неандертальский пример немного окультурить. > Кто выпишет ?, давайте по конкретней ! А любой из кучи CA может. По желанию левой пятки. Кому вся эта ватага и что выписывает - "после узнаете".
	Ответить | Правка | Наверх | Cообщить модератору

	89. "В OpenSSL обнаружена критическая уязвимость, которая может п..."	+/–
	Сообщение от Адекват (ok), 08-Апр-14, 15:50
	> что это, типа, сервер банка, а вовсе и не левый сервер > нифига. Щас попробую вникнуть: 1. Мне отравили DNS, и для меня валидным ip банка теперь считается ip злыдня 2. Злыдни загодя заказали сертификат для моего домена (допустим CA не потребовали чтобы почта была на том же домене что и сайт) и получили его. 3. Они разместили этот сертификат на своем https-сервере, и мой браузер обращаясь к фейковому https не чует подмены, потому что полученный сертификат проходит все проверки. Сомнение вызвает пункт 2 - я что могу получить сертификат для mail.ru ?
	Ответить | Правка | Наверх | Cообщить модератору

	104. "В OpenSSL обнаружена критическая уязвимость, которая может п..."	+/–
	Сообщение от Аноним (-), 08-Апр-14, 16:44
	> Щас попробую вникнуть: За кадром слышен натужный скрип мозга питекантропа: "электричество... магнетрон.... волны... черт, как все сложно! А я то думал - нажимаешь кнопку, готовится еда!" > 1. Мне отравили DNS, и для меня валидным ip банка теперь считается ip злыдня Как один из вариантов. А еще могли просто поставить transparent proxy, вклиниться в провод (или подставную точку wi-fi поставить), etc. Как будто мало методов, блин. > 2. Злыдни загодя заказали сертификат для моего домена (допустим CA не потребовали > чтобы почта была на том же домене что и сайт) Ну да. Т.к. любой CA может выписать серт на что угодно, какой-то из этой кучи может по долбоклюйству (как DigiNotar) или просьбе властьимущих (NSA одобряет), или просто потому что бабло побеждает зло - производители IDS вполне готовы доплатить за такую магию, разумеется, чтобы предоставить клиенту новую кульную фичу - анализ "защищеных" соединений путем снятия защиты, собственно. > и получили его. Ну comodohacker ведь получил. И производители IDSок получают, чуть ли не в открытую. Ищи новости о том как мозилла собиралась какой-то CA за это выпнуть. > 3. Они разместили этот сертификат на своем https-сервере, и мой браузер обращаясь > к фейковому https не чует подмены, потому что полученный сертификат проходит все проверки. Именно так. Это валидный сертификат, выписанный на "якобы твой сайт". Он другой, но заметить это может только внимательный параноик, который знает что у сертификата есть fingerprint и он при этом разумеется будет разным, т.к. это иной сертификат. > Сомнение вызвает пункт 2 - я что могу получить сертификат для mail.ru? Ну вот конкретно ты может и не можешь. А производители IDSок и comodohacker вот смогли, при том от последнего стоял жуткий грохот кирпичей. И никаких изменений предотвращающих это в будущем сделано не было.
	Ответить | Правка | Наверх | Cообщить модератору

	138. "В OpenSSL обнаружена критическая уязвимость, которая может п..."	+/–
	Сообщение от Аноним (-), 08-Апр-14, 21:57
	>[оверквотинг удален] >> 3. Они разместили этот сертификат на своем https-сервере, и мой браузер обращаясь >> к фейковому https не чует подмены, потому что полученный сертификат проходит все проверки. > Именно так. Это валидный сертификат, выписанный на "якобы твой сайт". Он другой, > но заметить это может только внимательный параноик, который знает что у > сертификата есть fingerprint и он при этом разумеется будет разным, т.к. > это иной сертификат. >> Сомнение вызвает пункт 2 - я что могу получить сертификат для mail.ru? > Ну вот конкретно ты может и не можешь. А производители IDSок и > comodohacker вот смогли, при том от последнего стоял жуткий грохот кирпичей. > И никаких изменений предотвращающих это в будущем сделано не было. Плз, не надо столько громких слов. Объясни этому баклану, что PKI (Который x509) это не только шифрование, но и, прежде всего, аутентификация и защита от подмены. Пусть пендует на интуит ввкуривать ликбезы до просветления.
	Ответить | Правка | Наверх | Cообщить модератору

	153. "В OpenSSL обнаружена критическая уязвимость, которая может п..."	+/–
	Сообщение от Аноним (-), 08-Апр-14, 22:57
	> Плз, не надо столько громких слов. > Объясни этому баклану, что PKI (Который x509) это не только шифрование, но > и, прежде всего, аутентификация и защита от подмены. Это прежде всего лохотрон, который претендует на то что он типа, аутентификация, и типа защита от подмены. На практике это, ясен пень, в большинстве реализаций не работает. > Пусть пендует на интуит ввкуривать ликбезы до просветления. Хз кто такое интуит, но пендовать надо куда-нибудь в FAQ по криптографии. И PKI и x509 далеко не лучшие примеры того как это бывает.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема