- A hozzászóláshoz be kell jelentkezni
Hozzászólások
subs
- A hozzászóláshoz be kell jelentkezni
Ez egy nagyon kijózanító eset. Gyakorlatilag rámutat, hogy hiába titkosítasz a weben, nem ér semmit. Mert ki tudja hány ilyen hiba van még vagy szándékosan vagy véletlenül a biztonsági megoldásokban.
---------------------------------------------------------------
Ritkán szólok hozzá dolgokhoz. Így ne várj tőlem interakciót.
- A hozzászóláshoz be kell jelentkezni
Ja, én is pont ezen agyaltam most. Ez egy triviális bug, megáll az ész. Azt vártam, hogy egy biztonsági szoftverben legalább 2-3-szor leellenőriznek mindent.....
Ez egy eszelős nagy pofon. Mondjuk én semmit nem tárolok "felhőben", minden fontos adatom privát szerón vagy lokálban van....
Vicc.... egy nagyon rossz vicc...
--
GPLv3-as hozzászólás.
- A hozzászóláshoz be kell jelentkezni
Én a felhőben tárolom, de saját gpg-vel. Persze ezekután a gpg-t is meg lehet kérdőjelezni, de úgy gondolom egyszerűbb felnyomni a lakásom, vagy egy füles kiséretében ellopni a pénztárcám (ahol a fent nevezett értékeket tárolom), mint elektronikusan megszerezni.
- A hozzászóláshoz be kell jelentkezni
"It is actually in the Police State’s interest to let everyone know that everything you write or say everywhere is being surveilled."
- A hozzászóláshoz be kell jelentkezni
Azért talán nem árt leszögezni, hogy a konkrét esethez az égvilágon semmi köze nem volt semmiféle rendőrállamnak. Egy fejlesztő ittasan vezette számítógépét, áttért a menetirány szerint sötét oldalra és ott összeütközött a vele szemben szabályosan közlekedő józan ésszel.
- A hozzászóláshoz be kell jelentkezni
Kb ugy, mint a Dual_EC_DRBG. Internet es/vagy biztonsag teruleten a Hanlon's razor c. mondas inkabb megfordult:
"Never attribute to stupidity that which is adequately explained by malice."
- A hozzászóláshoz be kell jelentkezni
"Egy fejlesztő ittasan vezette számítógépét, áttért a menetirány szerint sötét oldalra és ott összeütközött a vele szemben szabályosan közlekedő józan ésszel."
:D Haláli! :) A zötyögősen induló hétfőm első üde színfoltja! Köszi érte! :)
+1
- A hozzászóláshoz be kell jelentkezni
Sziasztok!
Heti hajtás után most ébredtem és olvasgatom mi is ez. Van egy rakad Debian, Ubuntu szerverem / VPS-em. Ezeket rendszeresen frissítem, tehát ha most vagy jövő hét folyamán lefrissítem akkor ez már javított verzióval fog futni. Tegnap egy Proxmox telepítés utáni frissítés is lehúzta már.
Nem gondolom, hogy az én webes levelezőim, pár weboldalam lenne a cél, de mivel a robotok nem válogatnak így kérdezném, hogy:
Kell-e tanúsítványt cserélni ahol https-t, IMAP SSL/TLS-t használok?
Lehetett-e jelszó kiszivárgás SSL/TLS-t használó IMAP kapcsolatoknál?
Mennyire kell ezt túlparázni mint üzemeltető? Azt vágom, hogy a történet siralmas és az ilyenek után egyre kevésbé hiszek a nagy felhő mizériában.
- A hozzászóláshoz be kell jelentkezni
Első lépésben azt kell összeszedned, hogy érintettek-e a szervereid a buggal kapcsolatban. Például a Debian "oldstable" nem az. A "stable" viszont az. Az Ubuntu 12.04.4 LTS is.
Nyilván ilyenkor a legrosszabb forgatókönyvvel érdemes számolni, azaz a feladat:
"After patching, private keys and certificates exposed to services running this code (for example web/mail server SSL certificates) should be replaced and old certificates revoked."
--
trey @ gépház
- A hozzászóláshoz be kell jelentkezni
Így kb. 60 kiszolgálóból talán kettő nem az, de azokat is kivezetem így azért nem lettek frissítve aktuális stabil Debian/Ubuntu verzióra. Köszi az infót.
- A hozzászóláshoz be kell jelentkezni
Hát akit érdekel, már kinn van a javított kód. Most 3-szor ellenőrzik a packethosszt. Hogy mondjam, így kellett volna elsőre lol.
--
GPLv3-as hozzászólás.
- A hozzászóláshoz be kell jelentkezni
Jo osszefoglalo, koszi.
- A hozzászóláshoz be kell jelentkezni
sub
- A hozzászóláshoz be kell jelentkezni
Köszi, hogy összeszedted! (y)
- A hozzászóláshoz be kell jelentkezni
nem tudnanak matematikailag igazolni vagy legalabb nagy mertekben vizsgalni egy ilyen fontos implementaciot?
- A hozzászóláshoz be kell jelentkezni
na igen, itt jönne a common criteria a képbe
- A hozzászóláshoz be kell jelentkezni
De tudnának, ebből következően ez nem bug, hanem fícsör. Valakinek. Aki megrendelte.
---
Why use Windows, if you have open doors… to Linux
- A hozzászóláshoz be kell jelentkezni
A coverity latja ezt a hibat ?
Amit nem lehet megirni assemblyben, azt nem lehet megirni.
- A hozzászóláshoz be kell jelentkezni
- A hozzászóláshoz be kell jelentkezni
Csak nekem furcsa, hogy a Debian wheezy-re a mai napig nincs javítás?
Vagy valamit rosszul csináltok?
OpenSSL 1.0.1e 11 Feb 2013
Ha jól tudom, ez érintett...
- A hozzászóláshoz be kell jelentkezni
apt-cache show openssl | grep Version
Mi a pontos verzió?
--
trey @ gépház
- A hozzászóláshoz be kell jelentkezni
Openssl version parancsa szerint 1.0.1e
Vagy ennek nincs jelentősége?
(A gép most nincs kéznél)
- A hozzászóláshoz be kell jelentkezni
Van jelentősége, mert nyilván nem verziót fognak lépni egy stable disztróban, hanem a meglevőt patchelik.
A DSA-2896-ból:
"For the stable distribution (wheezy), this problem has been fixed in version 1.0.1e-2+deb7u5."
A packages.debian.org szerint a wheezy jelenleg a 1.0.1e-2+deb7u7-nél tart. Ezért lenne fontos látni, hogy mi a pontos verzió.
--
trey @ gépház
- A hozzászóláshoz be kell jelentkezni
Ok, akkor én voltam figyelmetlen. Arra emlékszem, hogy egy-két napon belül jött update a csomagra.
Csak bennem valahogy az volt, hogy javítás=új verzió. Minimum e-ről g-re.
- A hozzászóláshoz be kell jelentkezni