Previous Entry Share Next Entry
2016-01

Heartbleed Explanation

Heartbleed Explanation
http://xkcd.com/1354/

This entry was originally posted at http://wizzard.dreamwidth.org/365588.html. It has comment count unavailable comments. Please comment there using OpenID.

  • 1
mopexod April 11th, 2014
about snakes but not too long!

а может кто-то умный пояснить...

Serge Shikov April 11th, 2014
Почему считается, что данные скомпрометированы? Можно в виде ссылки, если лень своими словами.

Ну в смысле - да, тот кто знал про этот баг, мог прочитать 64К из памяти сервера. Что за кусок памяти? Конкретно там что лежит?

Какова вероятность, что можно реально там что-то полезное найти? Ну например - если там всегда лежит приватный ключ сервера, потому что в конкретной версии так сложилось - это одно. А если там случайный мусор - это немного другое.

Я в курсе, что запросы можно повторять многократно и безопасно, потому что они даже никуда в логи не пишутся. Но если это всегда один и тот же кусок памяти, то сколько запросы ни повторяй - все равно ведь получишь каждый раз одно и тоже.

109 April 11th, 2014
really?

это про что?

Serge Shikov April 12th, 2014
что многократно и не логируются? ну я не настаиваю, но читал что-то такое.

Re: а может кто-то умный пояснить...

madf April 12th, 2014
http://blog.cloudflare.com/answering-the-critical-question-can-you-get-private-ssl-keys-using-heartbleed

Пишут что вероятность утащить ключи низкая, но не нулевая.

Re: а может кто-то умный пояснить...

Serge Shikov April 12th, 2014
Ну, я уже прочитал например и вот это:

http://habrahabr.ru/post/219109/

Отсюда следует, что тем не менее, ключи утащили, на модельном сервере. За 100000 запросов примерно. Но в случае если бы вместо nginx был бы например Apache, все уже было бы совсем по-другому. То есть, это все-таки не дыра во всех случаях, а потенциальная дыра, для определенных сочетаний софта. Там же пишут, например, что в node.js вообще данное расширение протокола отключили (за ненадобностью, типа :)

  • 1
?

Log in

No account? Create an account