LINUX.ORG.RU
ФорумTalks

Криптографический баг года

 ,


0

1

Это пример того, что:

  1. есть баги не менее серьезные, чем всякие переполнения буферов и «заплетания» потоков; и от таких багов никто кроме мозга не защитит;

  2. работает - не трожь;

  3. иметь на руках надо формальную модель, понимать поведение на граничных значениях; и уже потом говнокодить.

Итак, теперь к делу. В криптографической библиотеке оракловской Java нашли баг в проверке подписи ECDSA. Элементы подписи (r и s) необходимо проверять на нулевые значения, иначе математические операции над ними будут приводить к некорректному результату. В более древних версиях джавы был взят код на C++, и там, видимо, данное условие проверялось. В новом коде Java 15+ проверки уже нет. В результате с новыми версиями оракловской джавы можно любой сертификат сделать проверяемым, если тупо забить в r и s нули.

Багфикс от оракла уже готов.

https://www.theregister.com/2022/04/20/java_authentication_bug/

★★★★★

Ответ на: комментарий от firkax

Если ты будешь ездить на мусорном баке

ты с темы на тему не скачи. Мой ответ был на твое:

Ролс-ройс не выгоднее обществу по сумме, это чисто расходы на понты.

так вот, ройс это не «чисто расходы на понты», это реально очень хорошее авто

А китайцы как раз систематически и массово производят ниже. И софт систематически и массово производят ниже (вот все эти отсутствия обязательных проверок например), но уже всем миром.

У тебя претензии конкретно к китайцам или к тому, что когда у тебя полтора миллиарда людей, удовлетворить их хотелки в той же степени, что и в случае с пятисотмилионным населением, не возможно?

И ещё раз повторю, по крайней мере с софтом - дело не в тестах, а в изначальной направленности произвести мусор.

Между желанием произвести мусор и развитием софта взаимообуславливающая связь. Я уже давно писал на этом форуме, что софт предназначен для того, чтобы быстрее и проще было делать ошибки. За счет массовости программирования можно подобрать специалистов из очень широкого диапазона навыков и способностей. Таким образом - в отличие от железа - можно более гибко управлять рисками. Т.е. это просто технический инструмент для управления рисками. То, что риски минимизируются и выбирается говенный ширпотреб - это не проблема софта, а проблема людей. Но это уже очень конкретный оффтопик на ЛОР, и вообще в большинстве обывательских тусовок.

А то, что тебе не по карману выбирать более качественный продукт - эту ситуацию можно же и с другой стороны описать. Это не «стали делать софтовое говно» для приличного человека, это приличный человек, на самом деле, тот же холоп, только живет подольше и условное говно месит в условных перчатках, а не голой рукой.

seiken ★★★★★
() автор топика
Последнее исправление: seiken (всего исправлений: 1)
Ответ на: комментарий от vaddd

А прототип - это сырое, но работоспособное ) Полноценный товар, так сказать

Есть маленький нюанс - если об этом не забыли рассказать покупателю. Так ведь за редчайшим исключением ни один сцуко-производитель не скажет откровенно, что мы дескать налабали что-то сырое, но работоспособное. Наоборот, будет утверждать, что у него супер-пупер самое рассамое все.

Раньше до какого-то времени косвенным индикатором служила цена. Она отчасти и сейчас служит, но чем далее, тем хуже. Нередки случаи, когда дорогой товар уже ничем не лучше и даже хуже более дешевого по качеству из-за большей сырости, а большая сырость из-за меньшей протестированности на потребителях

А так то, что говорит firkax выходит за рамки спора о качестве, это скорее спор об все более укореняющейся культуре лжи и отсутствия понятия чести, вернее его извращения до противоположного.

praseodim ★★★★★
()
Последнее исправление: praseodim (всего исправлений: 2)
Ответ на: комментарий от praseodim

Есть маленький нюанс - если об этом не забыли рассказать покупателю.

Маркетинговые хитрости мы тут не рассматриваем. Этом в разной степени грешат все. Любой продукт - это по сути прототип, в ктором всегда найдется что усовершенствовать или исправить )

vaddd ★☆
()
Ответ на: комментарий от vaddd

Маркетинговые хитрости мы тут не рассматриваем.

В конечном итоге в них вся суть. Потому что если бы покупатели могли осмысленно выбирать между г-но, но дешево или качественно, но дорого, предмета для спора бы не было. Пример с вилками, кстати работает. Из силумина не знаю, чтобы их делали, но из пластмассы типа одноразовые (в принципе мыть и использовать несколько раз никто не запрещает) продают и их берут для ситуаций, когда из нержавеющей стали вилки неуместны, например, для походов куда-то или для корпоративов на рабочем месте.

praseodim ★★★★★
()
Ответ на: комментарий от praseodim

Потому что если бы покупатели могли осмысленно выбирать между г-но

…то для этого нужно чтобы они были подкованы не хуже разработчиков и изготовителей ) Среднему потребителю достаточно мнения знакомых, отзывов в инете, репутации бренда и тд. Короче, не усложняйте )

vaddd ★☆
()
Ответ на: комментарий от seiken

вообще говоря, в случае с ролс-ройсом, это тот же ширпотребный рынок, ничего специально космического в нем нет (среда эксплуатации же одинаковая как у ройса, так и у рено).

Но материалы и производство(включая тестирование) могут отличаться. Согласитесь, что заглохшим рено никого не удивишь, а вот заглохший ройс на котором едет богатый буратина по репутации может ударить.

anc ★★★★★
()
Ответ на: комментарий от anc

Вы о чем? Что их красили в черный цвет? Это просто был какой-то период, когда корпуса полупроводников красили. Черные шли и в бытовуху. В моей «Селге» были черненькие п401, в старом телике выпрямитель на черненьких д7 )

vaddd ★☆
()
Ответ на: комментарий от anc

Но материалы и производство(включая тестирование) могут отличаться.

я как раз об этом. Вместо дешевой синтетики ставят кожу. Над эргономикой работают, новые виды манипуляторов изобретают, пусть даже это перепевы и комбинации давно известных решений - на дешмане и того нет.

seiken ★★★★★
() автор топика
Ответ на: комментарий от firkax

И ещё раз повторю, по крайней мере с софтом - дело не в тестах, а в изначальной направленности произвести мусор.

Баги всплывают даже там где изначальная направленность на качество и вроде всё протестировано по 100 миллионов раз.

anc ★★★★★
()
Ответ на: комментарий от vaddd

Это тоже борьба за качество. Как из горы советских транзисторов через многочисленные испытания отбирались самые надежные и на них ставились буквы «ВП» )

Емнип звездочка рисовалась, а не ВП.

praseodim ★★★★★
()
Ответ на: комментарий от vaddd

Возможно и так. Мне запомнились черненькие корпуса с белой звездой и букавками ВП.
ЗЫ Наморщил ум и кажется да, вы правы, вроде припоминаются варианты транзисторов где на сером звезда была черной краской нарисована. Точно же были, вспомнил. Вы правы, а я нет. :)

anc ★★★★★
()
Последнее исправление: anc (всего исправлений: 1)
Ответ на: комментарий от praseodim

Емнип звездочка рисовалась, а не ВП.

И то и то. Звезда и буквы ВП.

anc ★★★★★
()
Ответ на: комментарий от praseodim

Было и так и так ) Но «ВП» больше вошло в фольклор на эту тему ) Можно еще вспомнить микросхемы с буквой К и без нее, разновидности корпусов в золоте и без него и так далее )

vaddd ★☆
()
Ответ на: комментарий от vaddd

…то для этого нужно чтобы они были подкованы не хуже разработчиков и изготовителей ) Среднему потребителю достаточно мнения знакомых, отзывов в инете, репутации бренда и тд. Короче, не усложняйте )

Не обязательно, может быть и просто эрудиция выше так любимой маркетологами «средней домохозяйки», которой де-факто в их представлении положено быть лишь слегка умнее табуретки.

Самое главное другое - попытки донести правильный взгляд на продукцию очень не приветствуется лоерами производителей.

Не, пока ты в бложике что-то трындишь и по большому счету личные впечатления транслируешь это обычно внимание не привлекает, даже зачастую по принципу что негативное упоминание все-равно реклама (да и то слишком увлекаться не стоит), но попробуй например хорошее расследование г-на произвести без затирания названий товарных знаков, имен производителей и точным доказательством где и почему. Свести эти результаты в табличку и регулярно ее обновлять. Помимо значительных трат на такую деятельность, схлопочешь иски, если сразу не дойдет.

Такие попытки, например, по продуктам питания, я помню делались еще в нулевые, там еще были раскрыты истинные производители, то есть, что на каких конкретно заводах делается, любопытные зависимости получались. Что к примеру, несмотря на обилие марок и фирм, конечных бенефициаров у более, чем 95% еды буквально несколько на весь мир.

Закономерно сайт быстро пришлось прикрыть. Может и сейчас что-то есть, но просто так подобная инфа не нагугливается.

praseodim ★★★★★
()
Последнее исправление: praseodim (всего исправлений: 1)
Ответ на: комментарий от praseodim

Не обязательно, может быть и просто эрудиция выше так любимой маркетологами «средней домохозяйки»,

Этого обычно недостаточно. Вам может и хватит знаний понять смысл проблемы в каком-нибудь аппарате, но сам факт наличия этой проблемы, ее важность в реальных условиях можно оценить лишь при всей совокопуности производственных знаний. Например средний линуксоид может прочитать про какую-то уязвимость в ядре, понять в чем именно она заключается, но ее реальную опасность можно оценить лишь при системных знаниях. Да и выбора обычно особого нет, зная ппро ошибку в конкретном изделии вы от него откажетесь, но купите другой товар, в котором своя проблема лучше охраняется производителем ) Хотя конечно лишние знания никому не повредят )

Закономерно сайт быстро пришлось прикрыть. Может и сейчас что-то есть, но просто так подобная инфа не нагугливается.

Верно. Поэтому при выборе все равно приходится ограничиваться «набором домохозяйки», даже если вы специалист )

vaddd ★☆
()
Последнее исправление: vaddd (всего исправлений: 1)
Ответ на: комментарий от anc

И? Сколько повторять: мои претензии не к багам как таковым (ну то есть баги это плохо, но понятное дело бывают, у меня тоже), а к культуре их производства.

firkax ★★★★★
()
Ответ на: комментарий от vaddd

Поэтому при выборе все равно приходится ограничиваться «набором домохозяйки», даже если вы специалист )

Так в этом и суть зла, что скрывается информация. По продуктам питания она еще требуется к раскрытию и есть возможность хотя бы что-то совсем не устраивающее отсеивать таким образом. К примеру «растительное мясо», хотя вегетарианцы может наоборот выбирают такое. Хотя есть подозрение, что и тут лукавство.

А вот с силумином, мне например в голову не приходило, что оказывается сейчас полно сантехники из него. И нифига об этом не пишут на товаре.

praseodim ★★★★★
()
Последнее исправление: praseodim (всего исправлений: 1)
Ответ на: комментарий от praseodim

Так в этом и суть зла, что скрывается информация.

А как иначе то? ) Вы же когда устраиваетесь на работу, то в резюме и на собеседовании указывайте свои таланты и опыт, но умалчиваете о недостатках. Дамы одеваются так, чтобы подчеркнуть достоинства фигуры и спрятать огрехи ) Се ля ви.

vaddd ★☆
()
Ответ на: комментарий от firkax

Применялся исключительно для майнкрафта.

А у меня – исключительно для dbeaver к локальной базе, пару раз в месяц.

pr849
()
Ответ на: комментарий от firkax

Если бы был - они бы купили вилку пусть и в 5 раз дороже, но жила бы она не неделю а 10 лет.

Он есть. Вилки имеются на любой вкус и кошелек. А то, что ты выбираешь дешевые, описано тридцать лет назад Пратчеттом:

У человека, который может позволить себе выложить за пару башмаков целых пятьдесят долларов, ноги остаются сухими и через десять лет, тогда как бедняк, у которого просто нет денег и который покупает самую дешевую обувку, за тот же период времени тратит на башмаки сотню долларов — и все равно ходит с мокрыми ногами.

leave ★★★★★
()
Ответ на: комментарий от leave

Есть ещё «Я не настолько богат, чтобы покупать дешёвые вещи» (c) не знаю кто

anc ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.