forum.opennet.ru - "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1" (37)

"Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+/–
Сообщение от opennews (??), 22-Янв-19, 11:15
Фонд OSTIF (Open Source Technology Improvement Fund), созданный с целью усиления защищённости открытых проектов, объявил (https://ostif.org/the-ostif-and-quarkslab-audit-of-openssl-i.../) о завершении независимого аудита ветки OpenSSL 1.1.1 (https://www.opennet.me/opennews/art.shtml?num=49255), сосредоточенного на анализе безопасности алгоритмов и кода, связанных с реализацией TLS 1.3, новых протоколов и переработанного генератора псевдослучайных чисел. Работа выполнена французской компанией QuarksLab, которая находится вне юрисдикции крупнейших спецслужб, заинтересованных в организации слежки, и уже привлекалась для аудита проектов OpenVPN (https://www.opennet.me/opennews/art.shtml?num=46301) и VeraCrypt (https://www.opennet.me/opennews/art.shtml?num=45333). Проведение аудита было профинансировано компанией Private Internet Access (https://en.wikipedia.org/wiki/Private_Internet_Access) и проектом DuckDuckGo. Аудит не выявил (https://ostif.org/wp-content/uploads/2019/01/18-04-720-REP_v...) серьёзных проблем с безопасностью в OpenSSL 1.1.1 и реализации TLS 1.3. Код отмечен в целом как безопасный, быстрый и функциональный, но выявлены отдельные области, в которых качество кода и комментариев могут быть улучшены. Всего разработчикам OpenSSL было предоставлено 16 рекомендаций и исправлений. Для дальнейшего контроля качества проект OpenSSL включён в программу Internet Bug Bounty (https://internetbugbounty.org/), в рамках которой производятся выплаты вознаграждений за выявление уязвимостей и недоработок в области безопасности. При проведении аудита выявлено 6 проблем, которые были устранены ещё до официального релиза OpenSSL 1.1.1 в ходе приватной переписки разработчики OpenSSL и исследователей, проводивших аудит: - В некоторых ситуациях соединения могли (https://github.com/openssl/openssl/pull/6852) сбрасываться без обработки ошибки. Проблема могла применяться для осуществления DoS-атаки на клиента (крах приложения) при его обращении к подконтрольному злоумышленнику серверу (например, через организацию MITM-атаки); - Проблемы (https://github.com/openssl/openssl/pull/6887) с генерацией уведомлений об ошибках, связанных с TLS v1.3. Проблемы можно было использовать для инициирования отказа в обслуживании; - Высказано несколько замечаний по качеству кода нового генератора псевдослучайных чисел и недостаточно ясному описанию назначения функций в комментариях (функциональные недоработки в PRNG были выявлены ранее, после другого аудита (https://www.opennet.me/opennews/art.shtml?num=49349)); - Реализация протокола аутентификации SRP признана корректной, но выявлено отсутствие (https://github.com/openssl/openssl/pull/8019) проверок некоторых возвращаемых значений. Также высказаны замечания по качеству кода и недостаточным пояснениям в комментариях; - По реализации CAPI замечания коснулись отсутствия комментариев в коде, что значительно затрудняет понимание реализованной логики. Качество кода не вызвало нареканий; - Во многих внутренних функциях OpenSSL обнаружены случаи отсутствия явных проверок на значения NULL, что потенциально может приводить к непредсказуемому поведению, которое может вылиться в проблемы со стабильностью или безопасностью. URL: https://ostif.org/the-ostif-and-quarkslab-audit-of-openssl-i.../ Новость: https://www.opennet.me/opennews/art.shtml?num=50004
Ответить \| Правка \| Cообщить модератору

Оглавление

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, Аноним (2), 11:25 , 22-Янв-19, (2) –15

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, Аноним (3), 11:43 , 22-Янв-19, (3) +11

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, список (?), 11:55 , 22-Янв-19, (4) +14

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, Андрей (??), 13:48 , 22-Янв-19, (10)

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, ku4erz (ok), 12:51 , 22-Янв-19, (7)

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, Andrey Mitrofanov (?), 13:07 , 22-Янв-19, (8) +1

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, Аноним (9), 13:08 , 22-Янв-19, (9)

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, Аноним84701 (ok), 14:07 , 22-Янв-19, (11) +6
Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, FSA (??), 15:02 , 22-Янв-19, (12) –1

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, yetanotheranonymus (?), 15:40 , 22-Янв-19, (14)

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, Аноним (16), 15:58 , 22-Янв-19, (16) +1

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, FSA (??), 18:04 , 22-Янв-19, (25) –2

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, FSA (??), 18:11 , 22-Янв-19, (27) –1

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, yetanotheranonymus (?), 18:35 , 22-Янв-19, (31)

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, бублички (?), 16:18 , 22-Янв-19, (17)

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, FSA (??), 18:06 , 22-Янв-19, (26) –1

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, бублички (?), 18:15 , 22-Янв-19, (29)
Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, бублички (?), 18:23 , 22-Янв-19, (30)

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, FSA (??), 07:47 , 24-Янв-19, (38) –2

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, бублички (?), 12:18 , 25-Янв-19, (42)

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, Анонн (?), 17:02 , 22-Янв-19, (22) +1

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, FSA (??), 18:12 , 22-Янв-19, (28) –2

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, Аноним (34), 20:47 , 22-Янв-19, (34) +1

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, бублички (?), 16:34 , 22-Янв-19, (18)

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, Аноним (16), 17:12 , 22-Янв-19, (24)

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, anonymous (??), 23:53 , 24-Янв-19, (40)

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, бублички (?), 12:12 , 25-Янв-19, (41)

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, бублички (?), 16:48 , 22-Янв-19, (20)

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, Аноним (15), 15:53 , 22-Янв-19, (15) –2
Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, manster (ok), 17:05 , 22-Янв-19, (23) –1

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, Аноним (32), 18:46 , 22-Янв-19, (32) +2

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, Аноним (34), 20:57 , 22-Янв-19, (35) +1

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, Аноним (33), 19:19 , 22-Янв-19, (33) –2
Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, Аноним (36), 22:48 , 22-Янв-19, (36) –1

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, Аноним (37), 05:37 , 24-Янв-19, (37)

Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, little Bobby tables (?), 17:16 , 24-Янв-19, (39)
Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1, Аноним (43), 01:30 , 25-Фев-19, (43)

Сообщения по теме [Сортировка по времени | RSS]

2. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" –15 +/–

Сообщение от Аноним (2), 22-Янв-19, 11:25

все 5 лет назад перекатились на libressl

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

3. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +11 +/–

Сообщение от Аноним (3), 22-Янв-19, 11:43

Кто "все"? Можно поимённый список?

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

4. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +14 +/–

Сообщение от список (?), 22-Янв-19, 11:55

оба Васяна и один Колян. Правда, Колян два года назад выкинул эту хрень, в винде она ему ни к чему.

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

10. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +/–

Сообщение от Андрей (??), 22-Янв-19, 13:48

В Debian как не было так и до сих пор нет.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

7. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +/–

Сообщение от ku4erz (ok), 22-Янв-19, 12:51

> и уже привлекалась для аудита проектов OpenVPN и VeraCrypt.
Да... только после их аудита,в OpenVPN нашли еще несколько уязвимостей:
https://habr.com/ru/post/370573/

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

8. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +1 +/–

Сообщение от Andrey Mitrofanov (?), 22-Янв-19, 13:07

>> и уже привлекалась для аудита проектов OpenVPN и VeraCrypt.
> Да... только после их аудита,в OpenVPN нашли еще несколько уязвимостей:
>abr.com/ru/post/370573/
Вас заинтересует п.13 http://book.itep.ru/10/merphy.html .

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

9. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +/–

Сообщение от Аноним (9), 22-Янв-19, 13:08

Почему опеннет не поддерживает 1.3? Или это косяк с моей стороны? Захожу с последнего TorBrowser.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

11. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +6 +/–

Сообщение от Аноним84701 (ok), 22-Янв-19, 14:07

> Почему опеннет не поддерживает 1.3?
Вы еще utf-8 вместо старого доброго koi8-r потребуйте!
Ох уж эта молодежь!
А вообще, гугля c яндексом и микрософтом пока тоже не спешат включить поддержку -- наверное стесняются обойти опеннет.

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

12. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" –1 +/–

Сообщение от FSA (??), 22-Янв-19, 15:02

Осмелюсь предположить, потому что OpenSSL 1.1.1 ещё даже не в Gentoo, не говоря уже о более консервативных дистрибутивах, типа Debian.

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

14. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +/–

Сообщение от yetanotheranonymus (?), 22-Янв-19, 15:40

> Осмелюсь предположить, потому что OpenSSL 1.1.1 ещё даже не в Gentoo
Вызывающе неверная информация:
# ls /usr/portage/dev-libs/openssl
files  Manifest  metadata.xml  openssl-0.9.8z_p8-r1.ebuild  openssl-1.0.2q.ebuild  openssl-1.0.2q-r200.ebuild  openssl-1.1.0j.ebuild  openssl-1.1.1a.ebuild  openssl-1.1.1a-r1.ebuild

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

16. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +1 +/–

Сообщение от Аноним (16), 22-Янв-19, 15:58

Только он даже не в анстейбле, а замаскирован к чертовой матери. Можешь конечно на свой трах и риск маску убрать.

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

25. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" –2 +/–

Сообщение от FSA (??), 22-Янв-19, 18:04

Ага. Я просто в новый год каким-то образом размаскировал 1.1.1. Задолбался зависимости править. Потом нашёл что натворил и откатился на стабильную версию и всё нормально стало. 1.1.1, конечно, можно поставить, но нафиг это делать на боевом сервере.

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

27. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" –1 +/–

Сообщение от FSA (??), 22-Янв-19, 18:11

Вот уж спасибо. Ставьте на свой страх и риск. Для тех, кому важнее стабильность и кто не хочет экспериментировать:
$ openssl version
OpenSSL 1.0.2q  20 Nov 2018

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

31. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +/–

Сообщение от yetanotheranonymus (?), 22-Янв-19, 18:35

Чертовски зря. В 1.1.0 убрали необходимость создавать lock-callback-и. Реально стало намного проще жить. Я перешел с 1.1.0i на 1.1.1 с середины сентября. С декабря на 1.1.1a. Полёт нормальный.

Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

17. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +/–

Сообщение от бублички (?), 22-Янв-19, 16:18

за всех не подписывайся, глупое это дело. персонально у меня OpenSSL 1.1.1a уже давно и в Debian 8 (Jessie) и в 9 (Stretch), да и всякие основные сервисы где это требуется (Nginx, Postfix и т.п.) сам давно бэкпортировал с поддержкой TLSv1.3
root@vm15:~# aptly repo search jessie openssl
openssl_1.1.1a-1_amd64
openssl_1.1.1a-1_source
openssl_1.1.0j-1~deb9u1_amd64
openssl_1.1.0j-1~deb9u1_source
root@vm15:~# aptly repo search stretch openssl
openssl_1.1.1a-1_amd64
openssl_1.1.1a-1_source
root@vm15:~# lsb_release -a
No LSB modules are available.
Distributor ID: Debian
Description:    Debian GNU/Linux 8.11 (jessie)
Release:        8.11
Codename:       jessie
root@vm15:~# nginx -V
nginx version: nginx/1.14.2
built with OpenSSL 1.1.1a  20 Nov 2018 (running with OpenSSL 1.1.1  11 Sep 2018)
TLS SNI support enabled
configure arguments: --with-cc-opt='-g -O2 -fPIE -fstack-protector-strong -Wformat -Werror=format-security -fPIC -D_FORTIFY_SOURCE=2' --with-ld-opt='-fPIE -pie -Wl,-z,relro -Wl,-z,now -fPIC' --prefix=/usr/share/nginx --conf-path=/etc/nginx/nginx.conf --http-log-path=/var/log/nginx/access.log --error-log-path=/var/log/nginx/error.log --lock-path=/var/lock/nginx.lock --pid-path=/run/nginx.pid --modules-path=/usr/lib/nginx/modules --http-client-body-temp-path=/var/lib/nginx/body --http-fastcgi-temp-path=/var/lib/nginx/fastcgi --http-proxy-temp-path=/var/lib/nginx/proxy --http-scgi-temp-path=/var/lib/nginx/scgi --http-uwsgi-temp-path=/var/lib/nginx/uwsgi --with-debug --with-pcre-jit --with-http_ssl_module --with-http_stub_status_module --with-http_realip_module --with-http_auth_request_module --with-http_v2_module --with-http_dav_module --with-http_slice_module --with-threads --with-http_gzip_static_module --without-http_browser_module --without-http_geo_module --without-http_limit_req_module --without-http_limit_conn_module --without-http_memcached_module --without-http_referer_module --without-http_split_clients_module --without-http_userid_module --add-dynamic-module=/root/nginx/nginx-1.14.2/debian/modules/http-echo

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

26. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" –1 +/–

Сообщение от FSA (??), 22-Янв-19, 18:06

Debian свежий, без всяких сторонних репов и тестинга:
openssl version
OpenSSL 1.1.0j  20 Nov 2018

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

29. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +/–

Сообщение от бублички (?), 22-Янв-19, 18:15

ну сиди и жди тогда Debian 10 :D

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

30. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +/–

Сообщение от бублички (?), 22-Янв-19, 18:23

ты пока ответ печатал похоже успел забыть, что новость о TLSv1.3 который поддерживается начиная с OpenSSL 1.1.1, так-что твой OpenSSL 1.1.0j тем-более в Debian 9 (Stretch) совсем не по теме новости и текущего обсуждения. на своём примере выше я лишь объяснил что далеко не у всех руки растут из ягодиц, чтоб не суметь портировать любой практически пакет из Sid/Unstable куда угодно

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

38. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" –2 +/–

Сообщение от FSA (??), 24-Янв-19, 07:47

> ты пока ответ печатал похоже успел забыть, что новость о TLSv1.3 который поддерживается начиная с OpenSSL 1.1.1
Я ничего не забывал. Я показал, что в текущем Debian версия OpenSSL ниже, чем та, что требуется для TLS 1.3. Соответственно, в случае применения на сервере Debian без костылей включить поддержку TLS 1.3 нельзя.

Ответить | Правка | ^ к родителю #30 | Наверх | Cообщить модератору

42. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +/–

Сообщение от бублички (?), 25-Янв-19, 12:18

поддерживать локальный репозиторий и портировать в него необходимые пакеты - костыли? то-есть весь инструментарий для этого тоже костыли? руководствуясь элементарной логикой и твоими высказываниями, получаем: костыли - всё что ты не осилил сделать или даже прочесть

Ответить | Правка | ^ к родителю #38 | Наверх | Cообщить модератору

22. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +1 +/–

Сообщение от Анонн (?), 22-Янв-19, 17:02

> OpenSSL 1.1.1 ещё даже не в Gentoo
Почему "даже"?
% openssl version
OpenSSL 1.1.1a-freebsd  20 Nov 2018

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

28. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" –2 +/–

Сообщение от FSA (??), 22-Янв-19, 18:12

Любил когда-то её. Но потом всё равно к Linux вернулся.

Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

34. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +1 +/–

Сообщение от Аноним (34), 22-Янв-19, 20:47

Вообще-то он уже почти везде, и в Gentoo и в Debian, и даже во Фряхе и слаквари:
https://repology.org/metapackage/openssl/badges

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

18. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +/–

Сообщение от бублички (?), 22-Янв-19, 16:34

думается мне, распоследний твой Tor Browser (8.0.4) не умеет последний TLSv1.3 (тот что final, RFC-8446) - умеет только-лишь какой-то черновик такового, да и-то поддержка его отключена (about:config). потому открывает всё по-старинке в TLSv1.2

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

24. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +/–

Сообщение от Аноним (16), 22-Янв-19, 17:12

Не мешки ворочать ага. Распаковал TORmozilla 8.0.4, зашел на клаудфлер и похороникс - tls 1.3 соединения.
Но да, вопрос глупый, почему, почему, покачану. Не у всех есть желание ручками собирать ради смены точка 2 на точка 3.

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

40. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +/–

Сообщение от anonymous (??), 24-Янв-19, 23:53

Кстати, navalny.com работает на 1.3

Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

41. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +/–

Сообщение от бублички (?), 25-Янв-19, 12:12

как и всё остальное что хостится на Cloudflare

Ответить | Правка | ^ к родителю #40 | Наверх | Cообщить модератору

20. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +/–

Сообщение от бублички (?), 22-Янв-19, 16:48

да и потом https://dev.ssllabs.com/ssltest/analyze.html?d=www.opennet.r...

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

15. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" –2 +/–

Сообщение от Аноним (15), 22-Янв-19, 15:53

Не умеют они врать. Вот так надо: "В ходе аудита, было выявлено несколько не критичных ошибок, на которых указали разработчикам, и они их исправили. Теперь всё отлично". А они "Не, ошибок нет, бэкдоров нет, троянов нет, стопудово, вообще. Организация, выполнявшая проверку, не связана с государственными органами!"
Просто уязвимости в OpenSSL иногда находят (тыкните по тегу, чтобы посмотреть новости на Опеннете), хоть и не конкретно в TLS, а во всём OpenSSL. А потому странно, что аудит не обнаружил вообще ничего. Тем более, в новом крупном релизе, который состоялся недавно

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

23. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" –1 +/–

Сообщение от manster (ok), 22-Янв-19, 17:05

> Аудит не выявил
отчеты о покрытии юнит-тестами с результатами - наилучший признак адекватного аудита

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

32. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +2 +/–

Сообщение от Аноним (32), 22-Янв-19, 18:46

> отчеты о покрытии юнит-тестами с результатами - наилучший признак адекватного аудита
Нет. Потому что это аудит безопасности, а не работоспособности.

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

35. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +1 +/–

Сообщение от Аноним (34), 22-Янв-19, 20:57

Да и нужно быть лишь чуть-чуть выше джуна чтобы знать что тесты ничего не гарантируют даже при 100% покрытии.

Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

33. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" –2 +/–

Сообщение от Аноним (33), 22-Янв-19, 19:19

> QuarksLab, которая находится вне юрисдикции крупнейших спецслужб, заинтересованных в организации слежки
Ничего не понял.
Автору новости достоверно известно, что только крупнейшие спецслужбы заинтересованны с организации слежки, либо, не крупнейшими спецслужбами можно пренебречь при оценке рисков?
И ещё интересней про что он имел ввиду под юрисдикцие. Когда спецслужбы США воруют людей по всему миру, а армия США без мандата ООН бомбит страны во имя демократии.. это они в рамках юрисдикции делали, стало быть?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

36. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" –1 +/–

Сообщение от Аноним (36), 22-Янв-19, 22:48

>Работа выполнена французской компанией QuarksLab, которая находится вне юрисдикции крупнейших спецслужб
Ничего не слышал про северокорейские спецслужбы, значит они не относятся к крупнейшим, да?
Любой бизнес и любой сотрудник любого бизнеса, особенно такого бизнеса, который на границе с криминалом (по желанию судьи, а желание судьи от многого зависит), каким является кибербезопасность, продаётся и покупается за возможность не сесть вот прямо сейчас на бутылку.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

37. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +/–

Сообщение от Аноним (37), 24-Янв-19, 05:37

> Ничего не слышал про северокорейские спецслужбы, значит они не относятся к крупнейшим, да?
нет, не относятся.

Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

39. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +/–

Сообщение от little Bobby tables (?), 24-Янв-19, 17:16

пару недель назад команда опенссл получила некую премию за
dramatic improvements to the code quality of OpenSSL
https://www.openssl.org/blog/blog/2018/01/10/levchin/

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

43. "Завершён аудит реализации TLS 1.3  в OpenSSL 1.1.1" +/–

Сообщение от Аноним (43), 25-Фев-19, 01:30

как можно писать код так что отсутствие проверки на NULL не ломает работу логики? не ужели код и был задуман без проверки NULL?!

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

2. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	–15 +/–
Сообщение от Аноним (2), 22-Янв-19, 11:25
все 5 лет назад перекатились на libressl
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	3. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+11 +/–
	Сообщение от Аноним (3), 22-Янв-19, 11:43
	Кто "все"? Можно поимённый список?
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	4. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+14 +/–
	Сообщение от список (?), 22-Янв-19, 11:55
	оба Васяна и один Колян. Правда, Колян два года назад выкинул эту хрень, в винде она ему ни к чему.
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	10. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+/–
	Сообщение от Андрей (??), 22-Янв-19, 13:48
	В Debian как не было так и до сих пор нет.
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору

7. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+/–
Сообщение от ku4erz (ok), 22-Янв-19, 12:51
> и уже привлекалась для аудита проектов OpenVPN и VeraCrypt. Да... только после их аудита,в OpenVPN нашли еще несколько уязвимостей: https://habr.com/ru/post/370573/
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	8. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+1 +/–
	Сообщение от Andrey Mitrofanov (?), 22-Янв-19, 13:07
	>> и уже привлекалась для аудита проектов OpenVPN и VeraCrypt. > Да... только после их аудита,в OpenVPN нашли еще несколько уязвимостей: >abr.com/ru/post/370573/ Вас заинтересует п.13 http://book.itep.ru/10/merphy.html .
	Ответить \| Правка \| ^ к родителю #7 \| Наверх \| Cообщить модератору

9. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+/–
Сообщение от Аноним (9), 22-Янв-19, 13:08
Почему опеннет не поддерживает 1.3? Или это косяк с моей стороны? Захожу с последнего TorBrowser.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	11. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+6 +/–
	Сообщение от Аноним84701 (ok), 22-Янв-19, 14:07
	> Почему опеннет не поддерживает 1.3? Вы еще utf-8 вместо старого доброго koi8-r потребуйте! Ох уж эта молодежь! А вообще, гугля c яндексом и микрософтом пока тоже не спешат включить поддержку -- наверное стесняются обойти опеннет.
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору


	12. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	–1 +/–
	Сообщение от FSA (??), 22-Янв-19, 15:02
	Осмелюсь предположить, потому что OpenSSL 1.1.1 ещё даже не в Gentoo, не говоря уже о более консервативных дистрибутивах, типа Debian.
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору


	14. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+/–
	Сообщение от yetanotheranonymus (?), 22-Янв-19, 15:40
	> Осмелюсь предположить, потому что OpenSSL 1.1.1 ещё даже не в Gentoo Вызывающе неверная информация: # ls /usr/portage/dev-libs/openssl files Manifest metadata.xml openssl-0.9.8z_p8-r1.ebuild openssl-1.0.2q.ebuild openssl-1.0.2q-r200.ebuild openssl-1.1.0j.ebuild openssl-1.1.1a.ebuild openssl-1.1.1a-r1.ebuild
	Ответить \| Правка \| ^ к родителю #12 \| Наверх \| Cообщить модератору


	16. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+1 +/–
	Сообщение от Аноним (16), 22-Янв-19, 15:58
	Только он даже не в анстейбле, а замаскирован к чертовой матери. Можешь конечно на свой трах и риск маску убрать.
	Ответить \| Правка \| ^ к родителю #14 \| Наверх \| Cообщить модератору


	25. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	–2 +/–
	Сообщение от FSA (??), 22-Янв-19, 18:04
	Ага. Я просто в новый год каким-то образом размаскировал 1.1.1. Задолбался зависимости править. Потом нашёл что натворил и откатился на стабильную версию и всё нормально стало. 1.1.1, конечно, можно поставить, но нафиг это делать на боевом сервере.
	Ответить \| Правка \| ^ к родителю #16 \| Наверх \| Cообщить модератору


	27. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	–1 +/–
	Сообщение от FSA (??), 22-Янв-19, 18:11
	Вот уж спасибо. Ставьте на свой страх и риск. Для тех, кому важнее стабильность и кто не хочет экспериментировать: $ openssl version OpenSSL 1.0.2q 20 Nov 2018
	Ответить \| Правка \| ^ к родителю #14 \| Наверх \| Cообщить модератору


	31. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+/–
	Сообщение от yetanotheranonymus (?), 22-Янв-19, 18:35
	Чертовски зря. В 1.1.0 убрали необходимость создавать lock-callback-и. Реально стало намного проще жить. Я перешел с 1.1.0i на 1.1.1 с середины сентября. С декабря на 1.1.1a. Полёт нормальный.
	Ответить \| Правка \| ^ к родителю #27 \| Наверх \| Cообщить модератору


	17. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+/–
	Сообщение от бублички (?), 22-Янв-19, 16:18
	за всех не подписывайся, глупое это дело. персонально у меня OpenSSL 1.1.1a уже давно и в Debian 8 (Jessie) и в 9 (Stretch), да и всякие основные сервисы где это требуется (Nginx, Postfix и т.п.) сам давно бэкпортировал с поддержкой TLSv1.3 root@vm15:~# aptly repo search jessie openssl openssl_1.1.1a-1_amd64 openssl_1.1.1a-1_source openssl_1.1.0j-1~deb9u1_amd64 openssl_1.1.0j-1~deb9u1_source root@vm15:~# aptly repo search stretch openssl openssl_1.1.1a-1_amd64 openssl_1.1.1a-1_source root@vm15:~# lsb_release -a No LSB modules are available. Distributor ID: Debian Description: Debian GNU/Linux 8.11 (jessie) Release: 8.11 Codename: jessie root@vm15:~# nginx -V nginx version: nginx/1.14.2 built with OpenSSL 1.1.1a 20 Nov 2018 (running with OpenSSL 1.1.1 11 Sep 2018) TLS SNI support enabled configure arguments: --with-cc-opt='-g -O2 -fPIE -fstack-protector-strong -Wformat -Werror=format-security -fPIC -D_FORTIFY_SOURCE=2' --with-ld-opt='-fPIE -pie -Wl,-z,relro -Wl,-z,now -fPIC' --prefix=/usr/share/nginx --conf-path=/etc/nginx/nginx.conf --http-log-path=/var/log/nginx/access.log --error-log-path=/var/log/nginx/error.log --lock-path=/var/lock/nginx.lock --pid-path=/run/nginx.pid --modules-path=/usr/lib/nginx/modules --http-client-body-temp-path=/var/lib/nginx/body --http-fastcgi-temp-path=/var/lib/nginx/fastcgi --http-proxy-temp-path=/var/lib/nginx/proxy --http-scgi-temp-path=/var/lib/nginx/scgi --http-uwsgi-temp-path=/var/lib/nginx/uwsgi --with-debug --with-pcre-jit --with-http_ssl_module --with-http_stub_status_module --with-http_realip_module --with-http_auth_request_module --with-http_v2_module --with-http_dav_module --with-http_slice_module --with-threads --with-http_gzip_static_module --without-http_browser_module --without-http_geo_module --without-http_limit_req_module --without-http_limit_conn_module --without-http_memcached_module --without-http_referer_module --without-http_split_clients_module --without-http_userid_module --add-dynamic-module=/root/nginx/nginx-1.14.2/debian/modules/http-echo
	Ответить \| Правка \| ^ к родителю #12 \| Наверх \| Cообщить модератору


	26. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	–1 +/–
	Сообщение от FSA (??), 22-Янв-19, 18:06
	Debian свежий, без всяких сторонних репов и тестинга: openssl version OpenSSL 1.1.0j 20 Nov 2018
	Ответить \| Правка \| ^ к родителю #17 \| Наверх \| Cообщить модератору


	29. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+/–
	Сообщение от бублички (?), 22-Янв-19, 18:15
	ну сиди и жди тогда Debian 10 :D
	Ответить \| Правка \| ^ к родителю #26 \| Наверх \| Cообщить модератору


	30. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+/–
	Сообщение от бублички (?), 22-Янв-19, 18:23
	ты пока ответ печатал похоже успел забыть, что новость о TLSv1.3 который поддерживается начиная с OpenSSL 1.1.1, так-что твой OpenSSL 1.1.0j тем-более в Debian 9 (Stretch) совсем не по теме новости и текущего обсуждения. на своём примере выше я лишь объяснил что далеко не у всех руки растут из ягодиц, чтоб не суметь портировать любой практически пакет из Sid/Unstable куда угодно
	Ответить \| Правка \| ^ к родителю #26 \| Наверх \| Cообщить модератору


	38. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	–2 +/–
	Сообщение от FSA (??), 24-Янв-19, 07:47
	> ты пока ответ печатал похоже успел забыть, что новость о TLSv1.3 который поддерживается начиная с OpenSSL 1.1.1 Я ничего не забывал. Я показал, что в текущем Debian версия OpenSSL ниже, чем та, что требуется для TLS 1.3. Соответственно, в случае применения на сервере Debian без костылей включить поддержку TLS 1.3 нельзя.
	Ответить \| Правка \| ^ к родителю #30 \| Наверх \| Cообщить модератору


	42. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+/–
	Сообщение от бублички (?), 25-Янв-19, 12:18
	поддерживать локальный репозиторий и портировать в него необходимые пакеты - костыли? то-есть весь инструментарий для этого тоже костыли? руководствуясь элементарной логикой и твоими высказываниями, получаем: костыли - всё что ты не осилил сделать или даже прочесть
	Ответить \| Правка \| ^ к родителю #38 \| Наверх \| Cообщить модератору


	22. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+1 +/–
	Сообщение от Анонн (?), 22-Янв-19, 17:02
	> OpenSSL 1.1.1 ещё даже не в Gentoo Почему "даже"? % openssl version OpenSSL 1.1.1a-freebsd 20 Nov 2018
	Ответить \| Правка \| ^ к родителю #12 \| Наверх \| Cообщить модератору


	28. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	–2 +/–
	Сообщение от FSA (??), 22-Янв-19, 18:12
	Любил когда-то её. Но потом всё равно к Linux вернулся.
	Ответить \| Правка \| ^ к родителю #22 \| Наверх \| Cообщить модератору


	34. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+1 +/–
	Сообщение от Аноним (34), 22-Янв-19, 20:47
	Вообще-то он уже почти везде, и в Gentoo и в Debian, и даже во Фряхе и слаквари: https://repology.org/metapackage/openssl/badges
	Ответить \| Правка \| ^ к родителю #12 \| Наверх \| Cообщить модератору


	18. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+/–
	Сообщение от бублички (?), 22-Янв-19, 16:34
	думается мне, распоследний твой Tor Browser (8.0.4) не умеет последний TLSv1.3 (тот что final, RFC-8446) - умеет только-лишь какой-то черновик такового, да и-то поддержка его отключена (about:config). потому открывает всё по-старинке в TLSv1.2
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору


	24. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+/–
	Сообщение от Аноним (16), 22-Янв-19, 17:12
	Не мешки ворочать ага. Распаковал TORmozilla 8.0.4, зашел на клаудфлер и похороникс - tls 1.3 соединения. Но да, вопрос глупый, почему, почему, покачану. Не у всех есть желание ручками собирать ради смены точка 2 на точка 3.
	Ответить \| Правка \| ^ к родителю #18 \| Наверх \| Cообщить модератору


	40. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+/–
	Сообщение от anonymous (??), 24-Янв-19, 23:53
	Кстати, navalny.com работает на 1.3
	Ответить \| Правка \| ^ к родителю #24 \| Наверх \| Cообщить модератору


	41. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+/–
	Сообщение от бублички (?), 25-Янв-19, 12:12
	как и всё остальное что хостится на Cloudflare
	Ответить \| Правка \| ^ к родителю #40 \| Наверх \| Cообщить модератору


	20. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	+/–
	Сообщение от бублички (?), 22-Янв-19, 16:48
	да и потом https://dev.ssllabs.com/ssltest/analyze.html?d=www.opennet.r...
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору

15. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	–2 +/–
Сообщение от Аноним (15), 22-Янв-19, 15:53
Не умеют они врать. Вот так надо: "В ходе аудита, было выявлено несколько не критичных ошибок, на которых указали разработчикам, и они их исправили. Теперь всё отлично". А они "Не, ошибок нет, бэкдоров нет, троянов нет, стопудово, вообще. Организация, выполнявшая проверку, не связана с государственными органами!" Просто уязвимости в OpenSSL иногда находят (тыкните по тегу, чтобы посмотреть новости на Опеннете), хоть и не конкретно в TLS, а во всём OpenSSL. А потому странно, что аудит не обнаружил вообще ничего. Тем более, в новом крупном релизе, который состоялся недавно
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору

23. "Завершён аудит реализации TLS 1.3 в OpenSSL 1.1.1"	–1 +/–
Сообщение от manster (ok), 22-Янв-19, 17:05
> Аудит не выявил отчеты о покрытии юнит-тестами с результатами - наилучший признак адекватного аудита
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору