|
| 1.5, Смузихлеб забывший пароль (?), 12:53, 21/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– |
Что-то подобное было в реализациях JWT в своё время
Получается, системой выдавался jwt-ключ, содержащий открытый ключ асимметричного шифрования
Достаточно было в полученном jwt-ключе поменять тип на симметричный, проставить туда тот же открытый ключ, им же "подписать" и... всё норм. Меняй параметры ключа как хочешь - заходи под любым пользователем с любыми правами итд итп
| | |
| |
| 2.19, Аноним (19), 19:21, 21/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
Я с самого начало этому протону не доверял. Мутная контора какая-то.
| | |
|
| 1.14, Сосиска в кармане (?), 14:37, 21/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– |
Зашёл я в код посмотреть, а там ужас что на***верчено. Даже по сообщению коммита 'Don't mutate message during verification' видно квалификацию.
| | |
| 1.16, Аноним (-), 16:17, 21/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
Интересно, смотрели ли, кто это коммитил, когда и, главное, не упало ли ему на счет большая сумма денег.
Пример ХЗ показал, что опесорсные проекты супер уязвимы к внедрению васянов без имени и фамилии.
| | |
| 1.20, Аноним (20), 20:49, 21/05/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
Так и запишем: в безопасных системах структуры данных организованы в иерархические структуры, где если только одна запись имеет силу - то исключительно её можно поместить в родительскую структуру.
Пакетная структура OpenPGP - хлам. От неё пора избавляться.
| | |
| |
| 2.25, Карлос Сношайтилис (ok), 00:23, 22/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
 Wasm не спасёт от мамкиных криптогрофов.
Даже проверенные алгоритмы могут иметь уязвимости в конкретной имплементации, и это не сильно зависит от языка.
| | |
| |
| 3.26, Кошкажена (?), 00:25, 22/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
> Wasm не спасёт от мамкиных криптогрофов.
> Даже проверенные алгоритмы могут иметь уязвимости в конкретной имплементации, и это не
> сильно зависит от языка.
Только взять готовую библиотеку лучше, чем реализовывать криптографию самому на жс.
| | |
|
| 2.29, OpenEcho (?), 11:36, 22/05/2025 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> когда есть васм
WASM - есть **is not constant time = side channel attacks !**
| | |
| |
| 3.30, Кошкажена (?), 22:33, 22/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
>> когда есть васм
> WASM - есть **is not constant time = side channel attacks !**
Как связаны timing attack и WASM? Они возможны в любом яп.
| | |
| |
| 4.32, OpenEcho (?), 09:56, 23/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
>>> когда есть васм
>> WASM - есть **is not constant time = side channel attacks !**
> Как связаны timing attack и WASM? Они возможны в любом яп.
- Во первых, WASM - не язык на котором програмируют, это ближе к байткоду.
- Во вторых, компиляторы в УАСМ, трансформируют код в быстродействующий non-constant-time код, заменяющие лукапы в брэнчи причем в зависимости от инпута (спасибо JIT)
- УАСМ который скармливается браузерам добавляют временные изменения на низком уровне, тайминг в доступе к памяти, кэш и брэнч предикторы которые раскрывают информацию и УАСМ не предоставляет низко уровневого котроля кэша и памяти по сравнению с нативным кодом
- ctgrind и dudect в помощь для иследования WASM в криптографии (мы ж про субж всё еще, правда?)
| | |
| |
| 5.33, Кошкажена (?), 15:42, 23/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
>[оверквотинг удален]
> к байткоду.
> - Во вторых, компиляторы в УАСМ, трансформируют код в быстродействующий non-constant-time
> код, заменяющие лукапы в брэнчи причем в зависимости от инпута (спасибо
> JIT)
> - УАСМ который скармливается браузерам добавляют временные изменения на низком уровне,
> тайминг в доступе к памяти, кэш и брэнч предикторы которые раскрывают
> информацию и УАСМ не предоставляет низко уровневого котроля кэша и памяти
> по сравнению с нативным кодом
> - ctgrind и dudect в помощь для иследования WASM в криптографии (мы
> ж про субж всё еще, правда?)
Ничего не понятно. Если хочешь сказать, что после компиляции в wasm можно получить timing attack, то хочу увидеть пруфы.
| | |
| |
| 6.34, OpenEcho (?), 20:27, 23/05/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> то хочу увидеть пруфы.
Дал ключевые слова, даже кратко разьяснил, но нет, таки надо еще и лекцию и с пруфами, в гугле наверно бан?
Может еще яблочко пожевать?
:)
| | |
| |
| 7.35, Кошкажена (?), 23:00, 23/05/2025 [^] [^^] [^^^] [ответить]
| +/– |
>> то хочу увидеть пруфы.
> Дал ключевые слова, даже кратко разьяснил, но нет, таки надо еще и лекцию и с пруфами, в гугле наверно бан?
Бредовый поток сознания - это не краткое разъяснение. Нужны пруфы или не было. Дешевый трюк иди поищи не сработает.
| | |
|
|
|
|
|
|
|
