Srodne teme
Navigacija
Lista poslednjih: 16, 32, 64, 128 poruka.

"Heartbleed" exploit/bug CVE-2014-0160

[es] :: Advocacy :: "Heartbleed" exploit/bug CVE-2014-0160

Strane: 1 2

[ Pregleda: 10228 | Odgovora: 37 ] > FB > Twit

Postavi temu Odgovori

Autor
Pretraga teme: Traži
Markiranje Štampanje RSS

Ivan Dimkovic

Administrator
Član broj: 13
Poruke: 16687
*.web.vodafone.de.



+7173 Profil

icon Re: "Heartbleed" exploit/bug CVE-2014-016016.04.2014. u 21:33 - pre 121 meseci
Citat:
jablan
(mada u krajnjoj liniji sve možeš da svedeš na neki materijalni trošak ako gajiš takve sklonosti)


Nope, zato i pitah o cemu se tacno radi:

1. O kolicini izgubljene love (materijalno)
2. O broju inficiranih servera (cisto numericki)
3. O relativnoj opasnosti bug-a (teorijski u smislu uspesnosti kompromitovanja podataka)

Za #1 mislim da je jos rano pricati o tome... O #2 isto tako.

#3, ovo je, IMHO, zanimljivo - koliki je procenat uspesnosti kompromitovanja privatnih podataka.

E sad, na osnovu onoga sto sam procitao, bar za sada mi ne izgleda da je ta cifra ni iz daleka blizu 100% posto je neophodno da se u heap-u nadje nesto korisno i da napadac "nabode" taj deo heap-a. Daleko bilo da je ovo bezopasna stvar, vrlo je ozbiljna - ali, kao sto rekoh, bilo je exploit-a koji su kompromitovali servere 100%, bez ikakve sanse za spas u vidu organizacije podataka u memoriji.

Mozda se debelo varam, ali dok ne budu dostupni malo detaljniji podaci o ranjivosti vecih servera ne bih smeo da se kladim na to da je ovo najveci bug u istoriji covecanstva.

Bar jos ne.
DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey
 
Odgovor na temu

tarla

Član broj: 15527
Poruke: 1648



+42 Profil

icon Re: "Heartbleed" exploit/bug CVE-2014-016016.04.2014. u 22:08 - pre 121 meseci
Citat:
Mister Big Time:
Citat:
tarla: Ono što meni lično najviše smeta je pljuvanje po MS-u i Apple-u iz sličnih razloga... A onda Kabooom... Ispade da ni open source nije imun na idiotske gaf-ove...


Niko nije rekao da je FOSS imun na sigurnosne propuste. ....



O kako nije prijatelju... Pratim malo više lista i najžešći pobornici FOSS-a su bili najgrlatiji u ismijavanju skorašnjih Apple propusta, rtf propusta na Windows-u, ... Onda su malo zaćutali nakon GnuTLS-a a posebno sada nakon OpenSSL-a

Smijanje tuđoj nesreći je bijedno pošto se kao bumerang vrati...

Inače veliki sam pobornik FOSS-a sa nekih 400-500 USD donacija na godišnjem nivou... Ne govorim ovo da bi se hvalio nego čisto da se zna na čijoj sam strani

Takođe da dodam još da sam zadnjih dana čitao par prepiski sa pojedinim developerima ... Nevjerovatno koliko su vođe nekih projekata tvrdoglavi i sujetni ljudi ... Lik koji je napisao OpenChart recimo...

Većina propusta se i nasluti kroz razne revizije samo neki budu toliko tvrdoglavi da to nije normalno. Lik koji je napisao Varnish je detaljno analizirao OpenSSL kod i naveo šta valja a šta ne. itd itd...

Evo primjer kada je Howard Chu analizirao GnuTLS http://www.openldap.org/lists/openldap-devel/200802/msg00072.html

6 punih godina je prošlo dok se ovo nije zakrpilo...


 
Odgovor na temu

Nedeljko
Nedeljko Stefanović

Član broj: 314
Poruke: 8632
*.ptt.rs.



+2789 Profil

icon Re: "Heartbleed" exploit/bug CVE-2014-016016.04.2014. u 22:14 - pre 121 meseci
Fanatizma raznih religija ima uvek, ali se postavlja pitanje koliko su relevantni/uticajni.
Nije bitno koji su zaključci izvučeni, već kako se do njih došlo.
 
Odgovor na temu

tarla

Član broj: 15527
Poruke: 1648



+42 Profil

icon Re: "Heartbleed" exploit/bug CVE-2014-016016.04.2014. u 22:17 - pre 121 meseci
Evo još jedan primjer tupavosti na kvadrat

http://blog.visionsource.org/2...8/opencart-csrf-vulnerability/
 
Odgovor na temu

Mister Big Time
The Consigliere
enterparadajz
Belgrade

Član broj: 15306
Poruke: 4747

Sajt: www.go2bed.net


+43 Profil

icon Re: "Heartbleed" exploit/bug CVE-2014-016016.04.2014. u 22:49 - pre 121 meseci
Citat:
jablan: Hehe, mogu misliti na šta bi ličili naslovi po domaćim kuririma da je momak kojim slučajem Srbin.....


Zvali bi ga u Vladu
(i odmah bi postao novi ministar za informaciono drustvo ili kako se to sad vec zove... :P )



[Ovu poruku je menjao Mister Big Time dana 17.04.2014. u 00:01 GMT+1]
 
Odgovor na temu

Ivan Dimkovic

Administrator
Član broj: 13
Poruke: 16687
*.web.vodafone.de.



+7173 Profil

icon Re: "Heartbleed" exploit/bug CVE-2014-016016.04.2014. u 23:10 - pre 121 meseci
Citat:
tarla
Evo primjer kada je Howard Chu analizirao GnuTLS http://www.openldap.org/lists/openldap-devel/200802/msg00072.html

6 punih godina je prošlo dok se ovo nije zakrpilo...


Citat:

Looking across more of their APIs, I see that the code makes liberal use of strlen and strcat, when it needs to be using counted-length data blobs everywhere. In short, the code is fundamentally broken; most of its external and internal APIs are incapable of passing binary data without mangling it. The code is completely unsafe for handling binary data, and yet the nature of TLS processing is almost entirely dependent on secure handling of binary data.


Hesus...
DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey
 
Odgovor na temu

bachi
Vladimir Vučićević
System administrator
Beograd, Srbija

Član broj: 17912
Poruke: 5318

Sajt: www.bachi.in.rs


+2827 Profil

icon Re: "Heartbleed" exploit/bug CVE-2014-016017.04.2014. u 07:35 - pre 121 meseci
Dimke, što pokušavaš da umanjiš značaj ovog užasa, to mi ne ide u glavu.

Pa svako ko ima OpenVPN, a pokraj SSLa nije stavio i TLS iznad ima da se hvata za glavu, da updatuje softver, ako je to moguće i da izdaje ponovo sve sertifikate. Sva sreća pa kod mene ima TLS iznad, ali u mnogim rešenjima to nije implementirano.
... Vladimir Vučićević aka. Bachi
~~~ www.bachi.in.rs <<<<>>>> [email protected]
>>> It's nice to be important, but it's more important to be nice...
 
Odgovor na temu

Ivan Dimkovic

Administrator
Član broj: 13
Poruke: 16687
*.hsi.kabelbw.de.



+7173 Profil

icon Re: "Heartbleed" exploit/bug CVE-2014-016017.04.2014. u 11:07 - pre 121 meseci
Citat:
bachi
Dimke, što pokušavaš da umanjiš značaj ovog užasa, to mi ne ide u glavu.


Hm, napisah vec nekoliko puta: moj stav je da je u ovom momentu rano za tvrdnje da je ovo najveci bug u istoriji covecanstva, zbog nedostatka podataka.

Ne vidim kako se to moze tumaciti kao "umanjivanje znacaja".

Bug je izuzetno ozbiljan i opasan, bilo bi besmisleno to dovoditi u pitanje. Ali, to niko i ne dovodi u pitanje na ovoj temi koliko vidim.
DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey
 
Odgovor na temu

mr. ako

Član broj: 65959
Poruke: 2367



+2294 Profil

icon Re: "Heartbleed" exploit/bug CVE-2014-016018.04.2014. u 04:06 - pre 121 meseci
Ako je verovati novinarima :D , it's a dooms day!!! Run for the hills yo'll. :) "Heartbleed is about to get worse, and it will slow the Internet to a crawl"
http://www.washingtonpost.com/blogs/the-switch/wp/2014/04/14/heartbleed-is-about-to-get-worse-and-it-will-slow-the-internet-to-a-crawl/
- Il n'est pas important qui, importe c'est quoi!
 
Odgovor na temu

mr. ako

Član broj: 65959
Poruke: 2367



+2294 Profil

icon Re: "Heartbleed" exploit/bug CVE-2014-016018.04.2014. u 04:23 - pre 121 meseci
...a ima i sampiona...
http://www.washingtonpost.com/blogs/the-switch/wp/2014/04/15/this-reader-mocked-heartbleed-by-posting-his-passwords-online-youll-never-guess-what-happened-next/
- Il n'est pas important qui, importe c'est quoi!
 
Odgovor na temu

Mister Big Time
The Consigliere
enterparadajz
Belgrade

Član broj: 15306
Poruke: 4747

Sajt: www.go2bed.net


+43 Profil

icon Re: "Heartbleed" exploit/bug CVE-2014-016005.05.2014. u 10:39 - pre 121 meseci
Top vendors join to bolster OpenSSL, other open source projects, after Heartbleed
Cisco, Dell, Facebook, IBM, Intel, Google and Microsoft are among those backing the initiative via the Linux Foundation




http://www.computerworld.com/s...urce_projects_after_Heartbleed
 
Odgovor na temu

Nedeljko
Nedeljko Stefanović

Član broj: 314
Poruke: 8632
*.ptt.rs.



+2789 Profil

icon Re: "Heartbleed" exploit/bug CVE-2014-016005.05.2014. u 20:55 - pre 121 meseci
A naročito MS bere brigu za kvalitet FOSS-a- Biće da je ovo čista samopromocija. Oni su (kao) glupi, pa mi moramo da intervenišemo.
Nije bitno koji su zaključci izvučeni, već kako se do njih došlo.
 
Odgovor na temu

newtesla
Aleksander Segedi
CEO / owner
Tim011 Digital doo
N 44.69344 - E 20.38175

Član broj: 147164
Poruke: 1532
static-78-25.nlnet.rs.

Sajt: www.knjigovodja.in.rs


+404 Profil

icon Re: "Heartbleed" exploit/bug CVE-2014-016006.05.2014. u 12:42 - pre 121 meseci
Mislim da je MS malo i "dao vetra u leđa" celokupnom PR-u oko Heartbleed-a; jbg, njihovo skrnjdekalo nije imalo problem - a sad bi mogli i malo da se okoriste u celoj priči
Kad, tokom pravljenja Nes kafe, umesto da uzmeš mleko iz friza tamo ustvari staviš Nes konzervu - shvatiš koliko je multitasking za*ebana i pipava rabota :)
 
Odgovor na temu

Ivan Dimkovic

Administrator
Član broj: 13
Poruke: 16687
*.hsi.kabelbw.de.



+7173 Profil

icon Re: "Heartbleed" exploit/bug CVE-2014-016006.05.2014. u 13:52 - pre 121 meseci
Sto da ne daju vetar u ledja kada im se ukazala prilika.

FOSS advokati isto tako koriste svaku priliku i sigurnosni propust u MSFT softveru da reklamiraju sopstveni skrndelj. Sada se samo (po N-ti put) ispostavilo da je FOSS softver identicno osetljiv na "sampionske" bug-ove kao i svaki drugi softver u sirokoj upotrebi

Citat:
Nedeljko
A naročito MS bere brigu za kvalitet FOSS-a- Biće da je ovo čista samopromocija. Oni su (kao) glupi, pa mi moramo da intervenišemo.


Pa uzevsi u obzir da je Microsoft korporacija, ciji je glavni cilj stvaranje prihoda svojim vlasnicima, ne vidim nista iznenadjujuce u tome - otprilike kao konstatacija da je papa katolik. Reklamiranje je u sluzbi stvaranja tog prihoda pa je potpuno ocekivano da MSFT, bas kao i svaka druga kompanija, koristi priliku kao sto je ova.

A prilika je, da se ne lazemo, odlicna.

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey
 
Odgovor na temu

Nedeljko
Nedeljko Stefanović

Član broj: 314
Poruke: 8632
*.ptt.rs.



+2789 Profil

icon Re: "Heartbleed" exploit/bug CVE-2014-016006.05.2014. u 14:34 - pre 121 meseci
Pa, da. Baš tako.

Samo što se ne bih složio da su baš sva preduzeća "Engulf and Devour - Our Fingers are in Everything" (ko je gledao fantastični film "Silent Movie" od Mel Bruksa, zna o čemu se radi). Neki rade mimo zakona i zataškavaju tragove za sobom, neki se drže zakonskog minimuma, a neki smatraju da nije dovoljno držati slovo zakona, već duh zakona, tj. da treba poslovati konstruktivno (ali, ne onako kako sirovine misle - bacanjem para unaokolo).

Nije bitno koji su zaključci izvučeni, već kako se do njih došlo.
 
Odgovor na temu

newtesla
Aleksander Segedi
CEO / owner
Tim011 Digital doo
N 44.69344 - E 20.38175

Član broj: 147164
Poruke: 1532
static-78-25.nlnet.rs.

Sajt: www.knjigovodja.in.rs


+404 Profil

icon Re: "Heartbleed" exploit/bug CVE-2014-016006.05.2014. u 15:27 - pre 121 meseci
Citat:
Ivan Dimkovic:
Sto da ne daju vetar u ledja kada im se ukazala prilika.

...
A prilika je, da se ne lazemo, odlicna.



Apsolutno se slažem: ne "odlična", nego vanserijska.
Kad, tokom pravljenja Nes kafe, umesto da uzmeš mleko iz friza tamo ustvari staviš Nes konzervu - shvatiš koliko je multitasking za*ebana i pipava rabota :)
 
Odgovor na temu

Ivan Dimkovic

Administrator
Član broj: 13
Poruke: 16687
*.hsi.kabelbw.de.



+7173 Profil

icon Re: "Heartbleed" exploit/bug CVE-2014-016006.05.2014. u 15:48 - pre 121 meseci
Citat:
Nedeljko:
Pa, da. Baš tako.

Samo što se ne bih složio da su baš sva preduzeća "Engulf and Devour - Our Fingers are in Everything" (ko je gledao fantastični film "Silent Movie"


Prikazivati sebe boljim od konkurencije direktno ili indirektno nije nista protivzakonito. Vrlo daleko od toga i spada u apsolutno normalnu praksu.

Ne bih da branim MSFT uopste, njihov softver je pun s*anja i njihova strategija u poslednjih nekoliko godina se moze najbolje opisati sa recju: Titanik, ali u ovom konkretnom slucaju ne vidim nista protivzakonito ili cak lose u tome sto rade.

Pritisak od konkurencije motivise proizvodjace da budu bolji. Marketing gde konkurencija hoce da "pomogne" nije stran nikome od igraca u toj igri.



DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey
 
Odgovor na temu

Nedeljko
Nedeljko Stefanović

Član broj: 314
Poruke: 8632
*.ptt.rs.



+2789 Profil

icon Re: "Heartbleed" exploit/bug CVE-2014-016006.05.2014. u 17:28 - pre 121 meseci
U ovom slučaju nije ništa loše. Međutim, ja sam kritikovao tvoj stav kao opšti princip.
Nije bitno koji su zaključci izvučeni, već kako se do njih došlo.
 
Odgovor na temu

[es] :: Advocacy :: "Heartbleed" exploit/bug CVE-2014-0160

Strane: 1 2

[ Pregleda: 10228 | Odgovora: 37 ] > FB > Twit

Postavi temu Odgovori

Srodne teme
Navigacija
Lista poslednjih: 16, 32, 64, 128 poruka.