URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 101111
[ Назад ]

Исходное сообщение
"Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2...."

Отправлено opennews , 09-Янв-15 00:34 
Доступны (https://www.openssl.org/news/) корректирующие выпуски OpenSSL 1.0.1k, 1.0.0p и 0.9.8zd в которых устранено 8 уязвимостей (http://openssl.org/news/secadv_20150108.txt), из которых 6 помечены как неопасные, а двум уязвимости присвоен умеренный уровень опасности. Проблема CVE-2014-3571 позволяет инициировать крах процесса из-за разыменования указателя NULL при обработке специально оформленных сообщений DTLS. Проблема CVE-2015-0206 может привести к исчерпанию доступной для процесса памяти при обработке потока записей DTLS с одинаковыми номерами последовательности.


Дополнительно можно отметить обновление strongSwan 5.2.2 (http://www.strongswan.org/), свободного пакета для создания VPN-соединений на базе протокола IPSec, используемого в Linux, Android, FreeBSD и Mac OS X. В новой версии устранена уязвимость (https://www.strongswan.org/blog/2015/01/05/strongswan-denial...) (CVE-2014-9221), которую можно использовать для инициирования краха демона IKE через отправку специально оформленного  IKE_SA_INIT запроса с указанием  значения 1025 в качестве номера группы DH (Diffie-Hellman).


Кроме того, можно упомянуть заслуживающую внимания заметку одного из разработчиков Libreswan  о безопасности IPSec, в свете недавней утечки информации (http://www.opennet.me/opennews/art.shtml?num=41356) об успешных атаках АНБ на IPSec. В заметке делается вывод, что особого повода для беспокойства нет и можно смело продолжать использование IPSec и IKE, если используются корректные настройки и в операционной системе соблюдены базовые требования к обеспечению безопасности (атаки АНБ основаны на краже ключей или атаке на заведомо небезопасные алгоритмы шифрования).

URL: https://www.openssl.org/news/
Новость: http://www.opennet.me/opennews/art.shtml?num=41418


Содержание

Сообщения в этом обсуждении
"Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2...."
Отправлено sage , 09-Янв-15 00:34 
Ссылка на заметку отсутствует.

"Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2...."
Отправлено Sylvia , 09-Янв-15 01:44 
ну что еще сказать...
http://storage3.static.itmages.ru/i/15/0108/h_1420756930_937...

"Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2...."
Отправлено Graynder , 09-Янв-15 02:27 
> ну что еще сказать...
> http://storage3.static.itmages.ru/i/15/0108/h_1420756930_937...

Уязвимостей последнее время как из рога изобилия, а альтернативы туманны.


"Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2...."
Отправлено Аноним , 09-Янв-15 02:53 
не туманны. они всегда были только одними. или пишешь свое никому не известное и работаешь на своем со своими или не пользуешь технологию.))

"Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2...."
Отправлено Аноним , 09-Янв-15 07:56 
Разработать систему защиты, защищающую от самого автора может даже новичок (с) вольный пересказ Фразы Б.Шнайера
Вопрос в том - а что действительное есть стойкое?

"Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2...."
Отправлено svlasov , 09-Янв-15 15:30 
>>  пишешь свое никому не известное

security through obscurity


"Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2...."
Отправлено Нанобот , 09-Янв-15 10:25 
>Уязвимостей последнее время как из рога изобилия

всё как обычно, не преувеличивай


"Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2...."
Отправлено Аноним , 09-Янв-15 15:13 
>>Уязвимостей последнее время как из рога изобилия
> всё как обычно, не преувеличивай

Нет, все-таки их число растет. Потому что растет число форков. Больше форков - больше уязвимостей.


"Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2...."
Отправлено anonimouse , 09-Янв-15 22:02 
Нет не так. Больше форков - меньше уязвимостей.

"Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2...."
Отправлено Аноним , 10-Янв-15 18:11 
> Больше форков - меньше уязвимостей.

Наоборот. Так как кодовая база одна - большинство дыр наследуются производными проектами, как бы "раздваиваясь". Был один проект с одной дыркой, стало два проекта, и в итоге - две дырки.

Когда еще сабжевые дыры закроют в libressl...


"Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2...."
Отправлено бедный буратино , 09-Янв-15 16:24 
>  ну что еще сказать...

Everyone gets everything he wants. I wanted secure transmissions, and for my sins, they gave me OpenSSL.

http://www.openbsd.org/faq/index.html


"Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2...."
Отправлено Аноним , 09-Янв-15 21:47 
А особо плохим мальчикам дали еще и LibreSSL. Сначала уязвимость закрывают в OpenSSL, а потом, через пару месяцев - и в Libre.

"Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2...."
Отправлено Нанобот , 09-Янв-15 10:22 
>В заметке делается вывод, что особого повода для беспокойства нет и можно смело продолжать использование IPSec и IKE

сколько АНБ обычно платит экспертам за такие заметки?


"Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2...."
Отправлено Аноним , 09-Янв-15 15:12 
>>В заметке делается вывод, что особого повода для беспокойства нет и можно смело продолжать использование IPSec и IKE
> сколько АНБ обычно платит экспертам за такие заметки?

Такие вещи можно писать и без науськиваний товарища^Wмистера в штатском.
Достаточно намека на оскорбление профессиональной чести и гордости (типа, ваш продукт - рeшето). У большинства разработчиков от таких заявлений автоматически включаются рекативные двигатели в области седалища, и они с дымным хвостом несутся защищать свое детище, презирая факты и здравый смысл.


"Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2...."
Отправлено Аноним , 09-Янв-15 15:07 
Ждем, когда их закроют в LibreSSL.

"Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2...."
Отправлено Нанобот , 09-Янв-15 16:10 
опять кто-то о себе во множественном числе пишет...

"Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2...."
Отправлено Аноним , 09-Янв-15 21:48 
Нам можно. Сам Нургалиев разрешил!

"Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2...."
Отправлено гость , 11-Янв-15 00:39 
Опыт соседних стран вообще ничему не учит?

"Обновление OpenSSL 1.0.1k, 1.0.0p, 0.9.8zd и StrongSwan 5.2...."
Отправлено бедный буратино , 11-Янв-15 10:32 
http://dayswithoutansslexploit.com/

чёт заглох щёчик