"Heartbleed" exploit/bug CVE-2014-0160

Nope, zato i pitah o cemu se tacno radi:

1. O kolicini izgubljene love (materijalno)
2. O broju inficiranih servera (cisto numericki)
3. O relativnoj opasnosti bug-a (teorijski u smislu uspesnosti kompromitovanja podataka)

Za #1 mislim da je jos rano pricati o tome... O #2 isto tako.

#3, ovo je, IMHO, zanimljivo - koliki je procenat uspesnosti kompromitovanja privatnih podataka.

E sad, na osnovu onoga sto sam procitao, bar za sada mi ne izgleda da je ta cifra ni iz daleka blizu 100% posto je neophodno da se u heap-u nadje nesto korisno i da napadac "nabode" taj deo heap-a. Daleko bilo da je ovo bezopasna stvar, vrlo je ozbiljna - ali, kao sto rekoh, bilo je exploit-a koji su kompromitovali servere 100%, bez ikakve sanse za spas u vidu organizacije podataka u memoriji.

Mozda se debelo varam, ali dok ne budu dostupni malo detaljniji podaci o ranjivosti vecih servera ne bih smeo da se kladim na to da je ovo najveci bug u istoriji covecanstva.

Bar jos ne.

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

O kako nije prijatelju... Pratim malo više lista i najžešći pobornici FOSS-a su bili najgrlatiji u ismijavanju skorašnjih Apple propusta, rtf propusta na Windows-u, ... Onda su malo zaćutali nakon GnuTLS-a a posebno sada nakon OpenSSL-a

Smijanje tuđoj nesreći je bijedno pošto se kao bumerang vrati...

Inače veliki sam pobornik FOSS-a sa nekih 400-500 USD donacija na godišnjem nivou... Ne govorim ovo da bi se hvalio nego čisto da se zna na čijoj sam strani

Takođe da dodam još da sam zadnjih dana čitao par prepiski sa pojedinim developerima ... Nevjerovatno koliko su vođe nekih projekata tvrdoglavi i sujetni ljudi ... Lik koji je napisao OpenChart recimo...

Većina propusta se i nasluti kroz razne revizije samo neki budu toliko tvrdoglavi da to nije normalno. Lik koji je napisao Varnish je detaljno analizirao OpenSSL kod i naveo šta valja a šta ne. itd itd...

Evo primjer kada je Howard Chu analizirao GnuTLS http://www.openldap.org/lists/openldap-devel/200802/msg00072.html

6 punih godina je prošlo dok se ovo nije zakrpilo...

Potpis

Fanatizma raznih religija ima uvek, ali se postavlja pitanje koliko su relevantni/uticajni.

Potpis

Nije bitno koji su zaključci izvučeni, već kako se do njih došlo.

Evo još jedan primjer tupavosti na kvadrat

http://blog.visionsource.org/2...8/opencart-csrf-vulnerability/

Potpis

Zvali bi ga u Vladu
(i odmah bi postao novi ministar za informaciono drustvo ili kako se to sad vec zove... :P )

Hesus...

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

Dimke, što pokušavaš da umanjiš značaj ovog užasa, to mi ne ide u glavu.

Pa svako ko ima OpenVPN, a pokraj SSLa nije stavio i TLS iznad ima da se hvata za glavu, da updatuje softver, ako je to moguće i da izdaje ponovo sve sertifikate. Sva sreća pa kod mene ima TLS iznad, ali u mnogim rešenjima to nije implementirano.

Potpis

... Vladimir Vučićević aka. Bachi
~~~ www.bachi.in.rs <<<<>>>> [email protected]
>>> It's nice to be important, but it's more important to be nice...

Hm, napisah vec nekoliko puta: moj stav je da je u ovom momentu rano za tvrdnje da je ovo najveci bug u istoriji covecanstva, zbog nedostatka podataka.

Ne vidim kako se to moze tumaciti kao "umanjivanje znacaja".

Bug je izuzetno ozbiljan i opasan, bilo bi besmisleno to dovoditi u pitanje. Ali, to niko i ne dovodi u pitanje na ovoj temi koliko vidim.

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

Ako je verovati novinarima :D , it's a dooms day!!! Run for the hills yo'll. :) "Heartbleed is about to get worse, and it will slow the Internet to a crawl"
http://www.washingtonpost.com/blogs/the-switch/wp/2014/04/14/heartbleed-is-about-to-get-worse-and-it-will-slow-the-internet-to-a-crawl/

Potpis

- Il n'est pas important qui, importe c'est quoi!

...a ima i sampiona...
http://www.washingtonpost.com/blogs/the-switch/wp/2014/04/15/this-reader-mocked-heartbleed-by-posting-his-passwords-online-youll-never-guess-what-happened-next/

Potpis

- Il n'est pas important qui, importe c'est quoi!

Top vendors join to bolster OpenSSL, other open source projects, after Heartbleed
Cisco, Dell, Facebook, IBM, Intel, Google and Microsoft are among those backing the initiative via the Linux Foundation




http://www.computerworld.com/s...urce_projects_after_Heartbleed

A naročito MS bere brigu za kvalitet FOSS-a- Biće da je ovo čista samopromocija. Oni su (kao) glupi, pa mi moramo da intervenišemo.

Potpis

Nije bitno koji su zaključci izvučeni, već kako se do njih došlo.

Mislim da je MS malo i "dao vetra u leđa" celokupnom PR-u oko Heartbleed-a; jbg, njihovo skrnjdekalo nije imalo problem - a sad bi mogli i malo da se okoriste u celoj priči

Potpis

Kad, tokom pravljenja Nes kafe, umesto da uzmeš mleko iz friza tamo ustvari staviš Nes konzervu - shvatiš koliko je multitasking za*ebana i pipava rabota :)

Sto da ne daju vetar u ledja kada im se ukazala prilika.

FOSS advokati isto tako koriste svaku priliku i sigurnosni propust u MSFT softveru da reklamiraju sopstveni skrndelj. Sada se samo (po N-ti put) ispostavilo da je FOSS softver identicno osetljiv na "sampionske" bug-ove kao i svaki drugi softver u sirokoj upotrebi



Pa uzevsi u obzir da je Microsoft korporacija, ciji je glavni cilj stvaranje prihoda svojim vlasnicima, ne vidim nista iznenadjujuce u tome - otprilike kao konstatacija da je papa katolik. Reklamiranje je u sluzbi stvaranja tog prihoda pa je potpuno ocekivano da MSFT, bas kao i svaka druga kompanija, koristi priliku kao sto je ova.

A prilika je, da se ne lazemo, odlicna.

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

Pa, da. Baš tako.

Samo što se ne bih složio da su baš sva preduzeća "Engulf and Devour - Our Fingers are in Everything" (ko je gledao fantastični film "Silent Movie" od Mel Bruksa, zna o čemu se radi). Neki rade mimo zakona i zataškavaju tragove za sobom, neki se drže zakonskog minimuma, a neki smatraju da nije dovoljno držati slovo zakona, već duh zakona, tj. da treba poslovati konstruktivno (ali, ne onako kako sirovine misle - bacanjem para unaokolo).

Potpis

Nije bitno koji su zaključci izvučeni, već kako se do njih došlo.

Apsolutno se slažem: ne "odlična", nego vanserijska.

Potpis

Kad, tokom pravljenja Nes kafe, umesto da uzmeš mleko iz friza tamo ustvari staviš Nes konzervu - shvatiš koliko je multitasking za*ebana i pipava rabota :)

Prikazivati sebe boljim od konkurencije direktno ili indirektno nije nista protivzakonito. Vrlo daleko od toga i spada u apsolutno normalnu praksu.

Ne bih da branim MSFT uopste, njihov softver je pun s*anja i njihova strategija u poslednjih nekoliko godina se moze najbolje opisati sa recju: Titanik, ali u ovom konkretnom slucaju ne vidim nista protivzakonito ili cak lose u tome sto rade.

Pritisak od konkurencije motivise proizvodjace da budu bolji. Marketing gde konkurencija hoce da "pomogne" nije stran nikome od igraca u toj igri.

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey