Megszólalt a Heartbleed bugot ejtő fejlesztő

Bug

A Heartbleed bug fenekesül felfordította az internetet. A súlyos biztonsági hibát ejtő fejlesztő, a német Robin Seggelmann beszélt a bug bemutatkozásának körülményeiről. A fejlesztő sajnálatosnak nevezte, hogy mind az ő, mind a kód átnézőjének figyelmét elkerülte a hiba, amelyet 2011 szilveszter éjjelén commitoltak.

Részletek itt és itt.

( secretx v | 2014. 04. 11., p – 11:09 )

"2011 szilveszter éjjelén commitoltak"
Mostmár mindent értek :)
---------------------------------------------------
Hell is empty and all the devils are here.
-- Wm. Shakespeare, "The Tempest"

( Replaced | 2014. 04. 11., p – 14:18 )

nem fosadek c-ben kellene kripto kodot irni

--
NetBSD - Simplicity is prerequisite for reliability

Valaki azt írta egy másik cikk alatt, hogy C-ben könnyebb hibás kódot írni.

Feltételezem arról szólt ez, hogy a C túl nagy szabadságot ad kevés ellenőrzéssel.
Ez sok esetben jó, de ezeknek az embereknek a véleménye szerint cryptora nem.

Bizonyára van véleményük, hogy mit kéne használni helyette, de azt eddig még nem láttam leírva.

Sosem értettem, hogy miért egy nyelv baja az, ha lehet rajta csúnyán is beszélni.

Egy normálisan megtervezett algoritmus esetében az implementációra is legalább olyan alaposságot kell fordítani.

Ez a szennyvíz meg a bor esete.
Ha egy hordó szennyvízhez adsz egy kanál bort, szennyvizet kapsz.
Ha egy hordó borhoz adsz egy kanál szennyvizet, szennyvizet kapsz.

Ha egy hibás algoritmust helyesen implementálsz, hibás működést kapsz.
Ha egy helyes algoritmust hibásan implementálsz, hibás működést kapsz.

Egyébként meg végső soron minden gépi kódban fut. A JAVA-t is pl. C/C++ meg Assembly-ben írták. Ha a runtime biztonságos is, attól még a JAVA-ban írt implementáció is ugyanúgy lehet egy halom kaki. Nem ezen múlik.

De a legkönnyebb az eszközökre fogni, hogy biztos amiatt van a probléma.
Szerintem meg a balf@x fejlesztő miatt van probléma.
---------------------------------------------------
Talisker Single Malt Scotch Whisky aged 10 years :)

Arról van szó, hogy a tipikus C security vulnerability-k pontosan olyan viselkedést használnak ki, amire egy biztonságos nyelvben run-time errort kapnál. Persze könnyen lehet, hogy a run-time errortól leáll a szerveralkalmazás, de legalább a jelszavaidat meg a privát kulcsaidat nem lopják ki, nem futtatnak tetszőleges kódot a te gépeden, és a hibát (leállás) könnyen észreveszed.

( Szappan | 2014. 04. 11., p – 16:15 )

- Fogadjunk, hogy nem mered commintelni, na fogadjunk?

- HOGY A FASZBA NE MERNÉM BAAAAAASZDMEEEG!

Egyszer régen készítettem éjjel, baromi fáradtan egy kódot (már nem tudom, mi volt).

Másnap, amikor néztem, láttam, hogy faszául működik minden, de amikor folytatni akartam, nem értettem, hogy lehet, mert észrevettem, hogy hagytam benne egy csúnya bugot.

Órák teltek el, mire észrevettem, hogy valahol máshol volt egy teljesen másik bug, és a kettő hatása kioltotta egymást.

( kelemengabor | 2014. 04. 11., p – 18:06 )

Mondjuk mi mást mondana? Hogy az X titkosszolgálat kérte, ennyit meg annyit fizettek (és közben eladta Y-éknak is), és hogy a thai emberek a legkedvesebbek a világon? :)
___
Arany János: Grammatika versben

( szerjozsa | 2014. 04. 11., p – 21:11 )

"a német Robin Seggelmann beszélt"
A német precizitás?

( szilard_ v | 2014. 04. 11., p – 21:23 )

A csóka megírta, commitolta, majd két évig élt mint hal a vízben, pénzben biztos nem volt hiánya. :)
Hát persze, hogy sajnálja, hogy két év után kiderült. Én sem lennék boldog :))