LINUX.ORG.RU

В OpenSSL обнаружена уязвимость, позволявшая прослушивать зашифрованный трафик

 , ,


2

9

Команда разработчиков OpenSSL Project выпустила срочный бюллетень безопасности, гласящий о критической уязвимости в библиотеке OpenSSL, которую обнаружили подразделение Google Security и компания Codenomicon.

Уязвимость, которой присвоен код CVE-2014-0160, находится в расширении Heartbeat (RFC6520) протокола TLS. Из-за отсутствия необходимой проверки в одной из функций, злоумышленник мог получить прямой доступ к оперативной памяти компьютеров, использующих OpenSSL. В том числе, доступ к секретным ключам, именам/паролям пользователей и всему зашифрованному трафику. При этом, на компьютере не оставалось никаких следов проникновения.

Любой, кому было известно об уязвимости, мог прослушивать зашифрованный трафик в Интернете с марта 2012 года (когда вышла OpenSSL 1.0.1). Как раз тогда была опубликована методика атаки на протокол SSL - BEAST, в связи с чем многие перешли на более защищенную версию TLS 1.2, поддержка которой появилась именно в OpenSSL 1.0.1. Уязвимая версия OpenSSL используется практически во всем Интернете: веб-серверами Nginx и Apache, почтовыми и IM-серверами, VPN-серверами и клиентами, и массой других программ.

Уязвимы все ветки OpenSSL 1.0.1 и 1.0.2-beta. Всем пострадавшим нужно как можно скорее обновиться до версии 1.0.1g, а также создать новые ключи и сертификаты. В случае невозможности немедленного обновления необходимо пересобрать OpenSSL с флагом -DOPENSSL_NO_HEARTBEATS.

>>> Подробности

anonymous

Проверено: maxcom ()
Последнее исправление: cetjs2 (всего исправлений: 2)

Ответ на: комментарий от I-Love-Microsoft

Ключ надо передавать по другому каналу и нужно быть уверенным в том, что никто не может прослушивать оба канала одновременно.

Binary ★★★★★
()
Ответ на: комментарий от xtraeft

так в по с закрытыми исходниками они вообще никуда не деваются, в отличие от. никто ведь о них не знает, ну кроме может быть разработчиков, а они могут это даже использовать и никому не сказать.

WRG ★★★★
()
Ответ на: комментарий от Binary

Ключ надо передавать по другому каналу и нужно быть уверенным в том, что никто не может прослушивать оба канала одновременно.

Это фигня... Важно чтобы ключ использовался только один раз. Иначе вся конфиденциальность превращается в тыкву.

Macil ★★★★★
()
Ответ на: комментарий от tailgunner

а закрытый софт со статически влинкованным openssl как будет обновляться?

как всегда, чтото обновят, остальное годами останется дырявым,
впрочем у них есть шанс, что у них openssl старой версии или yassl, polar итп


а дебиан молодцы в плане оперативности ;)

Sylvia ★★★★★
()
Ответ на: комментарий от redgremlin

вот и прохлопал большими ушами чтобы проверить то, что ему прислали

Sylvia ★★★★★
()
Ответ на: комментарий от xtraeft

В проприетарном софте ситуация еще более гнусная. В винде десятилетиями бэкдоры существуют, и АНБ ими успешно пользуются.

serhey
()
Ответ на: комментарий от I-Love-Microsoft

Если смс не кажет сумму и реквизиты получателя, защиты нет.
Если номер телефона для уведомлений можно поменять в кб, то аналогично.

handbrake ★★★
()
Ответ на: комментарий от Sylvia

Submitted by: Robin Seggelmann <seggelmann@fh-muenster.de>
Sun, 1 Jan 2012 (31 Dec 2011 23:00 +0000)
.de

Спецоперация АНБ бундесвера под кодовым названием «Подарки».

shahid ★★★★★
()
Ответ на: комментарий от shahid

BND у них служба называется,бундесвер - регулярная армия

Sylvia ★★★★★
()
Ответ на: комментарий от Sylvia

Самое «забавное», что уязвимость действует в обе стороны: если использовать уязвимое клиентское ПО, подключаясь к серверу злоумышленника, то сервер может спокойно получить содержимое оперативной памяти клиентской машины. К памяти браузера, допустим...

anonymous
()
Ответ на: комментарий от Sylvia

Sun, 1 Jan 2012 03:00:36 +0400 (23:00 +0000)

Ах он, противный, пока все радовались НГ он по-тихому подкатил свои патчи с подляной...

I-Love-Microsoft ★★★★★
()
Ответ на: комментарий от Pinkbyte

А в закрытом коде, в который смотрит только тот кто его разработал нашли бы быстрее, конечно, да-да-да, ты гарантируешь это.

А причем тут закрытый код? Я говорил только про открытый. Нельзя постоянно выезжать на аргументах «а у вас негров линчуют».
Локал рут эксплойты, живущие годами в ванильной ветке большого открытого проекта - это смешно.

xtraeft ★★☆☆
()
Ответ на: комментарий от WRG

так в по с закрытыми исходниками они вообще никуда не деваются, в отличие от. никто ведь о них не знает, ну кроме может быть разработчиков, а они могут это даже использовать и никому не сказать.

Ну то есть 2-4 года - это нормально, на твой взгляд?

xtraeft ★★☆☆
()
Ответ на: комментарий от anonymous

То есть по сути разницы в этом плане нет - бекдоры и уязвимости и там и там живут годами.

xtraeft ★★☆☆
()

Ээээ...

openssl (1.0.1-4ubuntu5.12) precise-security; urgency=medium

* SECURITY UPDATE: side-channel attack on Montgomery ladder implementation - debian/patches/CVE-2014-0076.patch: add and use constant time swap in crypto/bn/bn.h, crypto/bn/bn_lib.c, crypto/ec/ec2_mult.c, util/libeay.num. - CVE-2014-0076 * SECURITY UPDATE: memory disclosure in TLS heartbeat extension - debian/patches/CVE-2014-0160.patch: use correct lengths in ssl/d1_both.c, ssl/t1_lib.c. - CVE-2014-0160

 — Marc Deslauriers <marc.deslauriers@ubuntu.com> Mon, 07 Apr 2014 15:45:14 -0400

nixbeast
()
Ответ на: Ээээ... от nixbeast

Происки спецслужб.

Ttt ☆☆☆☆☆
()
Ответ на: Ээээ... от nixbeast

Мы рады за убунту, но: - 2 предшествующих года неизвестный круг лиц мог пользоваться дырой - часть серверов вовремя не обновится - софт со статически влинкованным openssl тоже обновится не сразу и не весь

anonymous
()
Ответ на: комментарий от Sylvia

да все дистры достаточно быстро справились.

qnikst ★★★★★
()
Ответ на: комментарий от xtraeft

Локал рут эксплойты, живущие годами в ванильной ветке большого открытого проекта - это смешно.

Как я люблю говорить «можешь помочь - помоги, любишь потрындеть - проходи мимо». Если ты такой умный - иди и закрывай дыры. Если ты думаешь, что все OpenSource-проекты просто полнятся людьми которые одновременно а) хотят что-то делать и б) могут, то у меня для тебя плохие новости - таких единицы. Тех кто попадает либо в а) либо в б) - побольше, но тоже не слишком много.

А так да, «трындеть - не мешки ворочать», поэтому я закругляюсь. Пойду лучше еще один патч на билдсистему Boost-а напишу.

Pinkbyte ★★★★★
()

Что собсно и требовалось доказать.

ChAnton ★★
()
Ответ на: комментарий от I-Love-Microsoft

А как они тебе этот ключ передадут?

HunOL ★★★★
()
Ответ на: комментарий от xtraeft

нормально, не нормально, но всяко лучше поздно, чем никогда.

WRG ★★★★
()
Ответ на: комментарий от I-Love-Microsoft

Мне, как пользователю, юзающему это самое SSL-соединение для банк-клиента - бояться надо?

Да, потому что теперь любой, в том числе и ты сам, может вытянуть из твоего банка всю информацию, о тебе, о твоих счетах и пин-кодах, после чего унести у тебя все твои деньги.

Проверено на нескольких популярных банках — все VULNERABLE.

anonymous
()

Ну если даже в опенссл встроили бекдор, представляете сколько их в линупсе ?

anonymous
()

Я вот забыл обновить свою машину с веб-сервером и так там и остался openssl 1.0.0. Так что меня это не задело :)

Hater ★★
()
Ответ на: комментарий от anonymous

Ну если даже в опенссл встроили бекдор, представляете сколько их в линупсе ?

Ну а если даже в линупсе есть столько бекдоров, представляете сколько их в других операционках?!

Только http://community.reactos.org/ может нас спасти!

anonymous
()

А openvpn клиент надо обновлять или нет?

erebtonge
()
Ответ на: комментарий от serhey

а что я люблю свободное ПО, так это за то, что бекдоры и уязвимости быстренько обнаруживают и устраняют.
быстренько обнаруживают
с марта 2012 года

comp00 ★★★★
()
Ответ на: комментарий от WRG

«так в по с закрытыми исходниками они вообще никуда не деваются, в отличие от. никто ведь о них не знает, ну кроме может быть разработчиков, а они могут это даже использовать и никому не сказать.»

Садись, два. В закрытых исходниках бэкдоры могут появиться только по распоряжению властей. А этот случай отлично показывает, что в открытом софте ЛЮБЫЕ спецслужбы или террористы могут организовывать любые бекдоры, причем при их обнаружении они могут просто запиилить новые.

anonymous
()
Ответ на: комментарий от anonymous

В закрытых исходниках бэкдоры могут появиться только по распоряжению властей

...а так же по желанию владельцев, желанию конкурентов, желанию сотрудников и да, по причине банальных ошибок.

tailgunner ★★★★★
()
Ответ на: комментарий от anonymous

А этот случай отлично показывает, что в открытом софте ЛЮБЫЕ спецслужбы или террористы могут организовывать любые бекдоры

fbi.gov is VULNERABLE

Садись, два.

anonymous
()
Ответ на: комментарий от anonymous

В закрытых исходниках бэкдоры могут появиться только по распоряжению властей.

А они там не могут появиться случайно, в следствии непреднамеренной ошибки человека, писавшего код? А если некий кулхацкер пропатчит что-то в бинарнике откомпилированной программы?

Каким образом проверять откомпилированное ПО без исходников на наличие дыр? Только дизассемблером, что в разы сложнее, чем читать исходный код(хотя и компилятор может быть с багами и из правильного исходника генерировать бажный код, но это уже отдельная история.) Тут нужна формальная верификация на уровне машинных кодов + формальная верификация процессора и всей материнской платы только так. НО. Без полностью открытого железа это требование невыполнимо

SZT ★★★★★
()
Ответ на: комментарий от tailgunner

"...а так же по желанию владельцев, желанию конкурентов, желанию сотрудников и да, по причине банальных ошибок."

Зато в открытом ПО просто берешь и делаешь бекдор. И ничего не надо дизасембилить.

anonymous
()
Ответ на: комментарий от anonymous

Зато в открытом ПО просто берешь и делаешь бекдор. И ничего не надо дизасембилить.

Безусловно. Просто берешь и делаешь. И у тебя на твоей локальной машине будет софт с бекдором. Толку-то?

anonymous
()
Ответ на: комментарий от anonymous

«Садись, два.»

Ооо, кошмар, твой мир рухнул, сайт ФБР уязвим. Ничего святого. и что, уязвимость в сайте ФБР что-то доказывает, кроме того, что в мире есть еще спецслужбы, прослушивающие конкурентов и делающие бекдоры?

anonymous
()
Ответ на: комментарий от anonymous

«Безусловно. Просто берешь и делаешь. И у тебя на твоей локальной машине будет софт с бекдором. Толку-то?»

Перечитай новость, бэкдор сделан в репозиториях всех распространенных дистрибутивов. Это показывает никчемность модели разработки ОПО, когда любой шпион может войти в команду разработчиков и запилить бекдор в своей части, куда другие члены команды и не полезут никогда.

anonymous
()
Ответ на: комментарий от anonymous

..а так же по желанию владельцев, желанию конкурентов, желанию сотрудников и да, по причине банальных ошибок."

Зато в открытом ПО просто берешь и делаешь бекдор. И ничего не надо дизасембилить.

Дизасемблить? O_O У всех упомянутых категорий желающих есть доступ к исходникам или они могут заплатить людям, имеющим такой доступ.

tailgunner ★★★★★
()
Ответ на: комментарий от tailgunner

«Дизасемблить? O_O У всех упомянутых категорий желающих есть доступ к исходникам или они могут заплатить людям, имеющим такой доступ.»

Ты вот сам уже логически пришел к тому, что ОПО - просто малина для шпионов. Так никому платить даже не надо.

anonymous
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.