ValdikSS7 авг 2014 в 08:26

Немножко уязвимостей в OpenSSL

2 мин

12K

Информационная безопасность *

+38

Комментарии 17

spbdimka 7 авг 2014 в 09:45

А кто-то может дать ссылку на рабочий экслоит для Heartbleed?
Ночью скачал новую версию intercepter'a и протестил свой сервер. говорит уязвимо. интересно что можно вытащить

KorDen32 7 авг 2014 в 09:49

Просто поищите «ssltest.py»
Ссылку не даю, т.к. по крайней мере раньше многие выкладывали и потом удаляли. Сейчас вроде после основновной волны успокоились…

spbdimka 7 авг 2014 в 10:10

ух ты, блин, раскрытие «секретных» путей у себя спалил. нафиг https =)

Nordvind 7 авг 2014 в 09:50

Удивляет, что это решето еще используют.

tyderh 7 авг 2014 в 10:02

То есть, по-вашему, нерешето — это там, где уязвимости не исправляют?

Suvitruf 7 авг 2014 в 10:06

Для них нерешето — это там, где про уязвимости не знают, даже если она есть (проприетарщина). То есть, как я понимаю, хейтеры опенсорса.

Nordvind 7 авг 2014 в 11:16

Для «нас» нерешето — это когда что-то разрабатывают профессионалы, а не говнокодеры-самоучки. Вот, просвещайтесь — www.libressl.org/ (проприетарщина, ага). Это drop-in replacement для OpenSSL, c нормальным процессом разработки.

Да что я тут распинаюсь вообще, все равно ведь тут «фанаты опенсорса», которые сами код не пишут, тем более такого масштаба.

Suvitruf 7 авг 2014 в 11:44

Я не спорю, что код в OpenSSL, мягко говоря, плоховат. Но если бы не такие «говнокодеры-самоучки», то многих продуктов мы бы вообще не увидели.

Nordvind 7 авг 2014 в 12:13

Ок, поясняю: в криптографии разбирается _мало_ людей. Всмысле, очень мало. Ни один нормальный человек не хочет, чтобы его пароли утекли к третьим лицам, потому что криптография криво имплементирована. Поэтому все (нормальные люди) соглашаются, что подобные библиотеки должны писать те, кто разбирается, а не любой прыщавый школьник.

SSL имплементировать — это вам не говносайты писать.

sandman 7 авг 2014 в 11:53

если принимать во внимание, что это форк того же OpenSSL, работая над которым, люди как-то не сообщали о найденных и исправленных багах (коих в openssl исправляют каждый месяц пачку), да хотя бы о портировании патчей, то можно предположить, что профессионалы они в чем-то другом.

vp_arth 7 авг 2014 в 10:07

или где не находят…

Roman_Pekhov 7 авг 2014 в 10:34

На сайте openssl.org исполняемых файлов нет. Предлагается всем благородным донам возиться с построением из исходников? Или я чего-то не понимаю?

Как, например, обновить OpenVPN под Windows?