forum.opennet.ru - "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." (40)

"Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	+/–
Сообщение от opennews (ok), 14-Мрт-19, 13:37
Проблемы (https://adamcaudill.com/2019/03/09/tls-64bit-ish-serial-numb.../) с энтропией в открытом инструментарии для удостоверяющих центрах EJBCA (https://www.ejbca.org/) привели к формированию более миллиона TLS-сертификатов, подлежащих отзыву. Наибольшее количество проблемных сертификатов было выписано компаниями Apple, GoDaddy, Google, Actalis и SSL.com. Проблема связана (https://groups.google.com/forum/#!msg/mozilla.dev.security.p...) с использованием при формирования серийных номеров для сертификатов генератора случайных чисел, выдающем 63 бита энтропии, вместо 64 бит. Соответственно сложность подбора каждого числа снизилась с 264 до 263 комбинаций (разница около 9 квинтиллионов). Требования (https://cabforum.org/baseline-requirements-documents/), регламентирующие деятельность удостоверяющих центров, предписывают применение как минимум 64-разрядных серийных номеров, поэтому все находящиеся в обиходе проблемные сертификаты подлежат отзыву и замене. Использование 63 бит вместо 64 обусловлено тем, что при генерации серийного номера пакетом EJBCA применялось приведение значения к положительному целому числу, т.е. чтобы избежать появления отрицательных значений принудительно очищался старший бит. Таким образом значение одного бита в 64-разрядном числе оказалось изначально известным. Снижение числа бит в серийном номере незначительно снижает стойкость сертификата к атакам, основанным на подборе коллизий - становится проще подобрать параметры, на основе которых можно получить поддельный сертификат с идентичной цифровой подписью. Тем не менее стойкости 63 битовой энтропии более чем достаточно для обеспечения безопасности в современных реалиях и угроза компрометации исключена (https://twitter.com/hanno/status/1105792349572091904) даже при использовании уязвимых хэш-функций MD5 и SHA1, которые на практике не применяются и не поддерживаются браузерами с начала 2017 года. Наибольшее число проблемных сертификатов было создано (https://bugzilla.mozilla.org/show_bug.cgi?id=1533655) компанией Apple - около 878 тысяч TLS-сертификатов, из которых время жизни ещё не истекло для 558 тысяч. Ещё около двух тысяч проблемных сертификатов было сгенерировано для S/MIME. Сертификаты генерировались с 2017 года и при этом по недосмотру было пропущено предупреждение о недостаточном размере серийного номера. Некоторые другие охваченные проблемой удостоверяющие центры: - Компания Actalis выдала (https://bugzilla.mozilla.org/show_bug.cgi?id=1534295) 350 тысяч проблемных сертификатов, из которых остаются активными 224 тысячи. - Компания GoDaddy изначально предположила наличие 1.8 млн проблемных сертификатов, но точный анализ показал (https://bugzilla.mozilla.org/show_bug.cgi?id=1533774), что проблема присутствовала только в 286 тысячах сертификатов, из которых 12152 остаются активными (проблемные сертификаты выписывались с 2016 года). - Компания Google с 2016 года выписала (https://bugzilla.mozilla.org/show_bug.cgi?id=1532842) около 100 тысяч проблемных сертификатов, из которых активными остаются только 7100. - Компания SSL.com сформировала (https://bugzilla.mozilla.org/show_bug.cgi?id=1534147) 6931 проблемных сертификатов. - Компания Camerfirma выдала (https://bugzilla.mozilla.org/show_bug.cgi?id=1534429) 924 проблемных сертификата, все из которых активны. Так как сертификаты должны быть отозваны в течение нескольких дней, возможно появление предупреждений о проблемах с безопасным доступом к сайтам, с владельцами которых не смогли связаться удостоверяющие центры или администраторы которых не успели установить новый сертификат. URL: https://adamcaudill.com/2019/03/09/tls-64bit-ish-serial-numb.../ Новость: https://www.opennet.me/opennews/art.shtml?num=50310
Ответить \| Правка \| Cообщить модератору

Оглавление

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., eRIC (ok), 13:37 , 14-Мрт-19, (1)

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Moomintroll (ok), 20:32 , 14-Мрт-19, (29) –1

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., eRIC (ok), 22:00 , 14-Мрт-19, (32) +1

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Moomintroll (ok), 11:47 , 15-Мрт-19, (42) –1

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., A.Stahl (ok), 13:48 , 14-Мрт-19, (2) +20

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Аноним (3), 14:01 , 14-Мрт-19, (3) +1

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Аноним (6), 14:55 , 14-Мрт-19, (6) –2

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., mickvav (?), 15:03 , 14-Мрт-19, (7) +3

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Аноним (22), 19:28 , 14-Мрт-19, (22)

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., пох (?), 15:17 , 14-Мрт-19, (9) –8

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Аноним (15), 16:05 , 14-Мрт-19, (15) –1

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Gannet (ok), 05:37 , 15-Мрт-19, (39)

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Аноним (4), 14:02 , 14-Мрт-19, (4)

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Аноним (3), 14:17 , 14-Мрт-19, (5)

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Аноним (4), 16:03 , 14-Мрт-19, (14)

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., пох (?), 15:18 , 14-Мрт-19, (10) –3

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., бублички (?), 15:34 , 14-Мрт-19, (12)

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., пох (?), 15:47 , 14-Мрт-19, (13) –4

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Аноним (15), 16:08 , 14-Мрт-19, (16) –1

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., пох (?), 18:20 , 14-Мрт-19, (19)
Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Аноним (34), 23:01 , 14-Мрт-19, (34) –1

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., YetAnotherOnanym (ok), 18:23 , 14-Мрт-19, (20) +2

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., пох (?), 19:46 , 14-Мрт-19, (24)

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Ivan_83 (ok), 19:38 , 14-Мрт-19, (23)

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., пох (?), 19:48 , 14-Мрт-19, (25) –1
Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Аноним (27), 20:07 , 14-Мрт-19, (27)
Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Annual (?), 22:16 , 14-Мрт-19, (33) –2
Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Парень что надо (?), 01:43 , 15-Мрт-19, (38) –1

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Аноним (26), 19:57 , 14-Мрт-19, (26) +6

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Аноним (27), 20:17 , 14-Мрт-19, (28) +1
Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Hellraiser (??), 21:17 , 14-Мрт-19, (30) –2
Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Аноним (31), 21:34 , 14-Мрт-19, (31) +1

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., пох (?), 07:23 , 15-Мрт-19, (40) +1

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Нононо (?), 01:41 , 15-Мрт-19, (37) –1

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Аноним (35), 23:09 , 14-Мрт-19, (35) –2

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., xapienz (ok), 12:40 , 16-Мрт-19, (46)

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., nobody (??), 10:16 , 15-Мрт-19, (41) –1
Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., InuYasha (?), 12:37 , 15-Мрт-19, (43)

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Анон546 (?), 19:09 , 15-Мрт-19, (44)

Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..., Petr (??), 21:19 , 15-Мрт-19, (45)

Сообщения по теме [Сортировка по времени | RSS]

1. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +/–

Сообщение от eRIC (ok), 14-Мрт-19, 13:37

Читал недавно на HN, хочу подчеркнуть что проблема не в EJBCA, а в неправильной настройки и эксплуатации данного продукта:
EJBCA can be configured to generate certificate serial numbers (positive integers) from 32 to 160 bits.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

29. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." –1 +/–

Сообщение от Moomintroll (ok), 14-Мрт-19, 20:32

> хочу подчеркнуть что проблема не в EJBCA
Точно? А это о чём?
> Использование 63 бит вместо 64 обусловлено тем, что при генерации серийного номера пакетом EJBCA не было учтено приведение значения к положительному целому числу.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

32. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +1 +/–

Сообщение от eRIC (ok), 14-Мрт-19, 22:00

>> Использование 63 бит вместо 64 обусловлено тем, что при генерации серийного номера пакетом EJBCA не было учтено приведение значения к положительному целому числу.
ну и дальше по тексту читайте, что вы кусок из контекста вырываете:
Чтобы избежать появления отрицательных значений и для соответствия требованиям спецификации в формируемом числе принудительно очищается старший бит, что должно учитываться при настройке пакета EJBCA, который поддерживает генерацию серийных номеров в диапазоне от 32 до 160 бит. Получение 64-битового значения без учёта описанной особенности (фактическое поведение при настройках по умолчанию отличается от ожидаемого) привело к тому, что значение одного бита оказалось изначально известным

Ответить | Правка | ^ к родителю #29 | Наверх | Cообщить модератору

42. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." –1 +/–

Сообщение от Moomintroll (ok), 15-Мрт-19, 11:47

> принудительно очищается старший бит, что должно учитываться при настройке пакета EJBCA
Т.е. по Вашему, это нормально, что "принудительно очищается старший бит" при "приведении значения к положительному целому числу" и потому надо указывать в настройках 65 бит, вместо 64? Ну возможно... Но тогда эта "особенность" должна быть указана в документации.
"Документированный баг — это фича" ©

Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

2. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +20 +/–

Сообщение от A.Stahl (ok), 14-Мрт-19, 13:48

Но как же так? Ябблы всякие и прочие Google ведь деньги берут, там работают супер-пупер спецы. Это не какой-то там хипстерский Let'sEncrypt. Как так?
А вот так.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

3. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +1 +/–

Сообщение от Аноним (3), 14-Мрт-19, 14:01

"When Ballot 164 was passed, we confirmed that the CA Software was already configured for 64-bit serial numbers, but did not realize the serial number generation algorithm resulted in 63 bits of entropy.
In addition to the CA Software, a validator (similar to linting tools) checks each issued certificate for compliance with SSL Baseline Requirements. Alerts were generated that the serial numbers were insufficient, however; because the checks were performed against individual certificates and not collections of certificates, the alerts were mistakenly determined to be incorrect and were suppressed."

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

6. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." –2 +/–

Сообщение от Аноним (6), 14-Мрт-19, 14:55

«Мы увидели ошибку, но, такие, да наверняка же фигня, и выключили её, ибо нефиг, да и деньги от АНБ то не лишние».

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

7. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +3 +/–

Сообщение от mickvav (?), 14-Мрт-19, 15:03

Ну так они берут деньги как раз за то, что в случае подобной фигни у них есть, кому связаться с владельцем проблемного сертификата.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

22. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +/–

Сообщение от Аноним (22), 14-Мрт-19, 19:28

Обычно сертификаты от таких компаний берутся на пару лет чтобы поставить руками и на долго забыть про настройки. Связаться можно но не факт что пользователь будет быстро все менять. Не раз бывали новости что какая-то крупная компания вовремя не обновляла истекший сертификат. А тут уже не просто конкретную дату истечения помнить а следить за тем не отозван ли сертификат.
С LE сертификат через пару месяцев истечет и тут можно даже ничего не отзывать при подобных проблемах так как за такое время найти коллизию скорее всего просто не успеют. И тут обычно у всех будет настроено автоматическое обновление сертификатов.

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

9. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." –8 +/–

Сообщение от пох (?), 14-Мрт-19, 15:17

а вот так, да - приходят владельцы хипстерского лентсшиткрипт - и объявляют их сертификаты превращенными в тыкву.
что расшифровать зашифрованное тем сертификатом не владея ресурсами АНБ у тебя не получится (а анб не нужно) - их не колебет, их задача - старательно уничтожать любые бизнесы, кроме своего.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

15. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." –1 +/–

Сообщение от Аноним (15), 14-Мрт-19, 16:05

АНБ всё делает правильно. ;-) Их "бизнес" живёт за счёт налогов тех, кого они душат.

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

39. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +/–

Сообщение от Gannet (ok), 15-Мрт-19, 05:37

Вот тебе как раз яркий пример того, что Let's Encrypt как раз не хипстерский, а очень даже нормуль.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

4. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +/–

Сообщение от Аноним (4), 14-Мрт-19, 14:02

> Наибольшее число проблемных сертификатов было создано компанией Apple - около 878 тысяч TLS-сертификатов
А куда они столько выдали? Вроде не побличный ЦА типа тавте и не хостер типа амазона/клаудфларе. На каждый свой ай-телефон? Если да, то отозвать сертификаты во всех телефонах за неделю.. ? (ну и да, оно так важно, что ахтунг, за неделю!! а не "не торопясь", за пол года?)

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

5. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +/–

Сообщение от Аноним (3), 14-Мрт-19, 14:17

Apple является реселлером DigiCert

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

14. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +/–

Сообщение от Аноним (4), 14-Мрт-19, 16:03

Ну тогда наверное не реселеры, реселеры своего ЦА не имели бы.. ну в общем вопрос терминологии.
Они конечным пользователям продают (перепродают) сертификаты или всетаки своим устройствам и своей инфраструктуре навыдавали?

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

10. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." –3 +/–

Сообщение от пох (?), 14-Мрт-19, 15:18

> ну и да, оно так важно, что ахтунг, за неделю!!
гуглю очень важно чтоб именно так, да.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

12. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +/–

Сообщение от бублички (?), 14-Мрт-19, 15:34

определённо клиентам этих компаний стоит нанять хороших адвокатов - неплохая возможность настричь бабла. гарантия безопасности сертификатов (compromise warranty) к примеру у того-же GoDaddy - от $100,000 до $1,000,000

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

13. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." –4 +/–

Сообщение от пох (?), 14-Мрт-19, 15:47

для этого сначала надо подделать сертификат - приступайте, приступайте.

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

16. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." –1 +/–

Сообщение от Аноним (15), 14-Мрт-19, 16:08

адвокаты в любом случае настригут.

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

19. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +/–

Сообщение от пох (?), 14-Мрт-19, 18:20

> адвокаты в любом случае настригут.
с нанимателя уж точно ;-)

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

34. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." –1 +/–

Сообщение от Аноним (34), 14-Мрт-19, 23:01

Адвокат никогда не проигрывает, клиент – довольно часто.

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

20. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +2 +/–

Сообщение от YetAnotherOnanym (ok), 14-Мрт-19, 18:23

То есть, необходимое время подбора сократилось со 100500 миллиардов лет до 9000 миллиардов лет работы всех компьютеров Земли?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

24. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +/–

Сообщение от пох (?), 14-Мрт-19, 19:46

вы таки не понимаете - нашли "страшную и опасную уязвимость", позволяющую еще на шажок пропихнуть летсшиткрипт - гугель для этого даже пожертвовал собственными сертификатами (один хрен генеримыми и выдаваемыми автоматом)

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

23. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +/–

Сообщение от Ivan_83 (ok), 14-Мрт-19, 19:38

Фигня какая то.
Ну выдали, ну меньше там немножко энтропии, но отзывать то зачем!?
Они и сами успеют просрочится раньше чем это станет проблемой.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

25. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." –1 +/–

Сообщение от пох (?), 14-Мрт-19, 19:48

вот именно поэтому и надо отозвать - чтобы это таки стало проблемой для пользователей "неправильных" CA.
"а не будут отзывать - отключим" (c)гугель

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

27. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +/–

Сообщение от Аноним (27), 14-Мрт-19, 20:07

так модно щас. тут пацаны писали что ИТ динамически развивается и все такое... короче придумают гемор на ровном месте, лишь бы люди меньше времени жили реалом/отдыхали.

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

33. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." –2 +/–

Сообщение от Annual (?), 14-Мрт-19, 22:16

> Фигня какая то.
> Ну выдали, ну меньше там немножко энтропии, но отзывать то зачем!?
> Они и сами успеют просрочится раньше чем это станет проблемой.
Действительно фигня.
Serial Number: Used to uniquely identify the certificate within a CA's systems.
При чём здесь вообще "надёжность"??
Он по ходу вообще должен бы последовательно меняться. Номер сертификата. Чтобы его идентифицировать по номеру. Дeбилы решили задействовать rnd? Ну тогда и правда возникает риск коллизий... Но опять-таки проблема решается пересмотром базы сертификатов и выявлением совпадений, если есть...

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

38. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." –1 +/–

Сообщение от Парень что надо (?), 15-Мрт-19, 01:43

> ну меньше там немножко энтропии, но отзывать то зачем!?
Ну как зачем - впихнуть новые дыры. А заодно отсеять тех, кто не заплатил.
Неужели вы и правда подумали, что ИХ беспокоит ВАША безопасность?

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

26. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +6 +/–

Сообщение от Аноним (26), 14-Мрт-19, 19:57

Задолбали со своими сертификатами, куда не глянь, везде напихали свое бесполезное шифрование, еще и заставляют активно переходить на него

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

28. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +1 +/–

Сообщение от Аноним (27), 14-Мрт-19, 20:17

ну да, толку-то от него. шифрование все прикрутили, а сотни миллионов учеток каждый год утекают из-за дырявях сервисов. админы этих сервисов наверное думали, что шифрование защищает от взломов :D

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

30. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." –2 +/–

Сообщение от Hellraiser (??), 14-Мрт-19, 21:17

правильно - честному человеку нечего скрывать

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

31. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +1 +/–

Сообщение от Аноним (31), 14-Мрт-19, 21:34

аноним, выступающий против шифрования? Серьезно?

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

40. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +1 +/–

Сообщение от пох (?), 15-Мрт-19, 07:23

> аноним, выступающий против шифрования? Серьезно?
человек, на открытом форуме на сайте размещенном в подконтрольном товарищмайору ящике, после того как предъявил свой паспорт провайдеру для оформления подключения, что-то там топит за "шифрование"? Серьезней некуда, это, скорее всего, неизлечимо.

Ответить | Правка | ^ к родителю #31 | Наверх | Cообщить модератору

37. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." –1 +/–

Сообщение от Нононо (?), 15-Мрт-19, 01:41

А самое главное - железо-то всё дырявое в закладках майора,
думают они о безопасности пользователей, ага, верю.

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

35. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." –2 +/–

Сообщение от Аноним (35), 14-Мрт-19, 23:09

>разница около 9 квинтиллионов
Не школо 9 квинтиллионов, а ровно вдвое. То есть несущественная.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

46. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +/–

Сообщение от xapienz (ok), 16-Мрт-19, 12:40

Между 18 квинтиллионами и 9 квинтиллионами разница 9 квинтиллионов :)

Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

41. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." –1 +/–

Сообщение от nobody (??), 15-Мрт-19, 10:16

unsigned типы - это зло! Ну да...

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

43. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +/–

Сообщение от InuYasha (?), 15-Мрт-19, 12:37

>>Снижение числа бит
Может, всё-таки битов? Это же не о бейсболе статья.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

44. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +/–

Сообщение от Анон546 (?), 15-Мрт-19, 19:09

не припомню, чтоб где-либо звучало "битов" когда-либо

Ответить | Правка | ^ к родителю #43 | Наверх | Cообщить модератору

45. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..." +/–

Сообщение от Petr (??), 15-Мрт-19, 21:19

Entropy - heartless bitch.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	+/–
Сообщение от eRIC (ok), 14-Мрт-19, 13:37
Читал недавно на HN, хочу подчеркнуть что проблема не в EJBCA, а в неправильной настройки и эксплуатации данного продукта: EJBCA can be configured to generate certificate serial numbers (positive integers) from 32 to 160 bits.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	29. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	–1 +/–
	Сообщение от Moomintroll (ok), 14-Мрт-19, 20:32
	> хочу подчеркнуть что проблема не в EJBCA Точно? А это о чём? > Использование 63 бит вместо 64 обусловлено тем, что при генерации серийного номера пакетом EJBCA не было учтено приведение значения к положительному целому числу.
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	32. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	+1 +/–
	Сообщение от eRIC (ok), 14-Мрт-19, 22:00
	>> Использование 63 бит вместо 64 обусловлено тем, что при генерации серийного номера пакетом EJBCA не было учтено приведение значения к положительному целому числу. ну и дальше по тексту читайте, что вы кусок из контекста вырываете: Чтобы избежать появления отрицательных значений и для соответствия требованиям спецификации в формируемом числе принудительно очищается старший бит, что должно учитываться при настройке пакета EJBCA, который поддерживает генерацию серийных номеров в диапазоне от 32 до 160 бит. Получение 64-битового значения без учёта описанной особенности (фактическое поведение при настройках по умолчанию отличается от ожидаемого) привело к тому, что значение одного бита оказалось изначально известным
	Ответить \| Правка \| ^ к родителю #29 \| Наверх \| Cообщить модератору


	42. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	–1 +/–
	Сообщение от Moomintroll (ok), 15-Мрт-19, 11:47
	> принудительно очищается старший бит, что должно учитываться при настройке пакета EJBCA Т.е. по Вашему, это нормально, что "принудительно очищается старший бит" при "приведении значения к положительному целому числу" и потому надо указывать в настройках 65 бит, вместо 64? Ну возможно... Но тогда эта "особенность" должна быть указана в документации. "Документированный баг — это фича" ©
	Ответить \| Правка \| ^ к родителю #32 \| Наверх \| Cообщить модератору

2. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	+20 +/–
Сообщение от A.Stahl (ok), 14-Мрт-19, 13:48
Но как же так? Ябблы всякие и прочие Google ведь деньги берут, там работают супер-пупер спецы. Это не какой-то там хипстерский Let'sEncrypt. Как так? А вот так.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	3. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	+1 +/–
	Сообщение от Аноним (3), 14-Мрт-19, 14:01
	"When Ballot 164 was passed, we confirmed that the CA Software was already configured for 64-bit serial numbers, but did not realize the serial number generation algorithm resulted in 63 bits of entropy. In addition to the CA Software, a validator (similar to linting tools) checks each issued certificate for compliance with SSL Baseline Requirements. Alerts were generated that the serial numbers were insufficient, however; because the checks were performed against individual certificates and not collections of certificates, the alerts were mistakenly determined to be incorrect and were suppressed."
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	6. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	–2 +/–
	Сообщение от Аноним (6), 14-Мрт-19, 14:55
	«Мы увидели ошибку, но, такие, да наверняка же фигня, и выключили её, ибо нефиг, да и деньги от АНБ то не лишние».
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	7. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	+3 +/–
	Сообщение от mickvav (?), 14-Мрт-19, 15:03
	Ну так они берут деньги как раз за то, что в случае подобной фигни у них есть, кому связаться с владельцем проблемного сертификата.
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	22. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	+/–
	Сообщение от Аноним (22), 14-Мрт-19, 19:28
	Обычно сертификаты от таких компаний берутся на пару лет чтобы поставить руками и на долго забыть про настройки. Связаться можно но не факт что пользователь будет быстро все менять. Не раз бывали новости что какая-то крупная компания вовремя не обновляла истекший сертификат. А тут уже не просто конкретную дату истечения помнить а следить за тем не отозван ли сертификат. С LE сертификат через пару месяцев истечет и тут можно даже ничего не отзывать при подобных проблемах так как за такое время найти коллизию скорее всего просто не успеют. И тут обычно у всех будет настроено автоматическое обновление сертификатов.
	Ответить \| Правка \| ^ к родителю #7 \| Наверх \| Cообщить модератору


	9. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	–8 +/–
	Сообщение от пох (?), 14-Мрт-19, 15:17
	а вот так, да - приходят владельцы хипстерского лентсшиткрипт - и объявляют их сертификаты превращенными в тыкву. что расшифровать зашифрованное тем сертификатом не владея ресурсами АНБ у тебя не получится (а анб не нужно) - их не колебет, их задача - старательно уничтожать любые бизнесы, кроме своего.
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	15. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	–1 +/–
	Сообщение от Аноним (15), 14-Мрт-19, 16:05
	АНБ всё делает правильно. ;-) Их "бизнес" живёт за счёт налогов тех, кого они душат.
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору


	39. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	+/–
	Сообщение от Gannet (ok), 15-Мрт-19, 05:37
	Вот тебе как раз яркий пример того, что Let's Encrypt как раз не хипстерский, а очень даже нормуль.
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору

4. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	+/–
Сообщение от Аноним (4), 14-Мрт-19, 14:02
> Наибольшее число проблемных сертификатов было создано компанией Apple - около 878 тысяч TLS-сертификатов А куда они столько выдали? Вроде не побличный ЦА типа тавте и не хостер типа амазона/клаудфларе. На каждый свой ай-телефон? Если да, то отозвать сертификаты во всех телефонах за неделю.. ? (ну и да, оно так важно, что ахтунг, за неделю!! а не "не торопясь", за пол года?)
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	5. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	+/–
	Сообщение от Аноним (3), 14-Мрт-19, 14:17
	Apple является реселлером DigiCert
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	14. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	+/–
	Сообщение от Аноним (4), 14-Мрт-19, 16:03
	Ну тогда наверное не реселеры, реселеры своего ЦА не имели бы.. ну в общем вопрос терминологии. Они конечным пользователям продают (перепродают) сертификаты или всетаки своим устройствам и своей инфраструктуре навыдавали?
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	10. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	–3 +/–
	Сообщение от пох (?), 14-Мрт-19, 15:18
	> ну и да, оно так важно, что ахтунг, за неделю!! гуглю очень важно чтоб именно так, да.
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору

12. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	+/–
Сообщение от бублички (?), 14-Мрт-19, 15:34
определённо клиентам этих компаний стоит нанять хороших адвокатов - неплохая возможность настричь бабла. гарантия безопасности сертификатов (compromise warranty) к примеру у того-же GoDaddy - от $100,000 до $1,000,000
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	13. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	–4 +/–
	Сообщение от пох (?), 14-Мрт-19, 15:47
	для этого сначала надо подделать сертификат - приступайте, приступайте.
	Ответить \| Правка \| ^ к родителю #12 \| Наверх \| Cообщить модератору


	16. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	–1 +/–
	Сообщение от Аноним (15), 14-Мрт-19, 16:08
	адвокаты в любом случае настригут.
	Ответить \| Правка \| ^ к родителю #13 \| Наверх \| Cообщить модератору


	19. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	+/–
	Сообщение от пох (?), 14-Мрт-19, 18:20
	> адвокаты в любом случае настригут. с нанимателя уж точно ;-)
	Ответить \| Правка \| ^ к родителю #16 \| Наверх \| Cообщить модератору


	34. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	–1 +/–
	Сообщение от Аноним (34), 14-Мрт-19, 23:01
	Адвокат никогда не проигрывает, клиент – довольно часто.
	Ответить \| Правка \| ^ к родителю #16 \| Наверх \| Cообщить модератору

20. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	+2 +/–
Сообщение от YetAnotherOnanym (ok), 14-Мрт-19, 18:23
То есть, необходимое время подбора сократилось со 100500 миллиардов лет до 9000 миллиардов лет работы всех компьютеров Земли?
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	24. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	+/–
	Сообщение от пох (?), 14-Мрт-19, 19:46
	вы таки не понимаете - нашли "страшную и опасную уязвимость", позволяющую еще на шажок пропихнуть летсшиткрипт - гугель для этого даже пожертвовал собственными сертификатами (один хрен генеримыми и выдаваемыми автоматом)
	Ответить \| Правка \| ^ к родителю #20 \| Наверх \| Cообщить модератору

23. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	+/–
Сообщение от Ivan_83 (ok), 14-Мрт-19, 19:38
Фигня какая то. Ну выдали, ну меньше там немножко энтропии, но отзывать то зачем!? Они и сами успеют просрочится раньше чем это станет проблемой.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	25. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	–1 +/–
	Сообщение от пох (?), 14-Мрт-19, 19:48
	вот именно поэтому и надо отозвать - чтобы это таки стало проблемой для пользователей "неправильных" CA. "а не будут отзывать - отключим" (c)гугель
	Ответить \| Правка \| ^ к родителю #23 \| Наверх \| Cообщить модератору


	27. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	+/–
	Сообщение от Аноним (27), 14-Мрт-19, 20:07
	так модно щас. тут пацаны писали что ИТ динамически развивается и все такое... короче придумают гемор на ровном месте, лишь бы люди меньше времени жили реалом/отдыхали.
	Ответить \| Правка \| ^ к родителю #23 \| Наверх \| Cообщить модератору


	33. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	–2 +/–
	Сообщение от Annual (?), 14-Мрт-19, 22:16
	> Фигня какая то. > Ну выдали, ну меньше там немножко энтропии, но отзывать то зачем!? > Они и сами успеют просрочится раньше чем это станет проблемой. Действительно фигня. Serial Number: Used to uniquely identify the certificate within a CA's systems. При чём здесь вообще "надёжность"?? Он по ходу вообще должен бы последовательно меняться. Номер сертификата. Чтобы его идентифицировать по номеру. Дeбилы решили задействовать rnd? Ну тогда и правда возникает риск коллизий... Но опять-таки проблема решается пересмотром базы сертификатов и выявлением совпадений, если есть...
	Ответить \| Правка \| ^ к родителю #23 \| Наверх \| Cообщить модератору


	38. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	–1 +/–
	Сообщение от Парень что надо (?), 15-Мрт-19, 01:43
	> ну меньше там немножко энтропии, но отзывать то зачем!? Ну как зачем - впихнуть новые дыры. А заодно отсеять тех, кто не заплатил. Неужели вы и правда подумали, что ИХ беспокоит ВАША безопасность?
	Ответить \| Правка \| ^ к родителю #23 \| Наверх \| Cообщить модератору

26. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	+6 +/–
Сообщение от Аноним (26), 14-Мрт-19, 19:57
Задолбали со своими сертификатами, куда не глянь, везде напихали свое бесполезное шифрование, еще и заставляют активно переходить на него
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	28. "Около миллиона TLS-сертификатов подлежат отзыву из-за пробле..."	+1 +/–
	Сообщение от Аноним (27), 14-Мрт-19, 20:17
	ну да, толку-то от него. шифрование все прикрутили, а сотни миллионов учеток каждый год утекают из-за дырявях сервисов. админы этих сервисов наверное думали, что шифрование защищает от взломов :D
	Ответить \| Правка \| ^ к родителю #26 \| Наверх \| Cообщить модератору