さよならOpenSSL

Linuxｵﾜﾀ ＼(^o^)／


OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ
http://headlines.yahoo.co.jp/hl?a=20140408-00000015-zdn_ep-sci

結局Windows Serverが安全てことだな

>>2
は？（威圧）

冗談がお得意ですね

>>2
>>3 いや、正解でしょ

Debin 7.4で
$ sudo apt-get update
$ sudo apt-get upgrade openssl
してもアップグレード:0個で
$ openssl version
すると
OpenSSL 1.01e 11 Feb 2013
のままなのよ。

どうすれば対策版になるの？

>>6
testing版だと既にインストール可能だったぞ。

>>7
ありがとうございます。逝って来ます。

dpkg -l |grep openssl
ii openssl 1.0.1e-2+deb7u6

dist-upgradeに失敗して未だにsqueezeのままの俺に死角はなかった

あかんやろそっちがよっぽど（真面目）

威圧()ｗ

オープンソースがいかに危険か見せつけたな

opensslの脆弱性が最近記事になってるやん

これ変な気がするんだよなぁ
メモリーをコピられてもさ、それってユーザー空間なわけじゃないのさ？
んで、ふつうさ、コネクション毎に別のプロセス立ち上げるだろ？
つまりね、別のユーザー空間にアクセスできるわけねえんだから
そもそもメモリーをコピーしたところでなんか見れるの？
ふつうcallocすりゃメモリは０で初期化されるだろ？
他のプロセスが使ってたメモリの内容がスタック領域とかに残ってるのか？

陰謀論なら、フリーソフトではなく商用ソフトを使わせたいとかいうことかもね
でも、スノーデンが正しいならむしろそっちのほうこそ仕込まれてる可能性があるわけで・・・・

というか、仮に１つのプロセスがすべてに対応する作りだと
そもそもそれ自体がセキュアーなアーキテクチャになってないという
ほんまにそういうつくりなのか？

不正アクセスが急増してるというがアクセスでメモリの情報を取れるものなのか？

疑問があっても調べもせずドヤ顔でテキトーぶっこく連中ですか

【IT】OpenSSL欠陥、三菱UFJニコス894人個人情報流出か　被害判明は国内初 [4/19]
http://ai.2ch.net/test/read.cgi/newsplus/1397874984/

欠陥発覚後に即対策してないからこうなる
結局使う奴が間抜けだと何をやってもダメってこと

>>17
本当のアホは気づいてすらいないから
ちゃんと調べて公表できるだけ優秀

>>18
ほんとそれだからタチがわるいｗ

何かあったら真っ先に自分たちが被害者面するノーガード戦法ｗ

OpenSSLのソース覗いたけど、
あれちょっとひどいな。
別に悪いとは思わないけどガッツリ系で一文字変数を使っているのは初めて見た。
どういう意味の変数だとか間違えないのがすごい。
安全なアドレス演算とかできるように色々工夫しろよと。

>>21
変数名とか、外部に公開するところはちゃんと名前つけているし
内部で閉じているところは1文字変数多用だけど可読性に支障は
無いまともなコーディングスタイル(インデントは俺好みではないけど)で
特にひどいと思わないけど、参考までにどのファイルのどのあたりを見て
そう感じたか教えてもらえますか?

ちなみに俺が見たソースは
debian jessieにあった1.0.1g-2

LibreSSL…ネーミングがofficeと一緒やん…。

本当にさよならOpenSSL。
君のクソなコードは永遠にクソでしたでってことで
幕を閉じるよ。

Heardbleed禍のOpenSSLは「もはや修復不能」。OpenBSDがフォーク版開発へ
http://www.gizmodo.jp/2014/04/heardbleedopensslopenbsd.html

VMSサポートの数千行。太古のWIN32サポートの数千行。今やWindowsもPOSIXっぽいAPIあるんだし、
ソケット用に特別に何か用意する必要ない。FIPSサポートの数千行…これがあるとほぼ自動的に
暗号化がダウングレードされちゃうからね。[...]　あとはOpenSSL開発グループが12年ぐらい
前に廃止するつもりで書いたAPIの数千行、これもまだ残ってた。
あと「Cコードも9万行削除した」と、ZDNetには語ってます。それでも機能には全く影響なくて、
ちゃんと正常に動いてるそうですから、それだけOpenSSLはひどかったということに…。

GnuTLSをベースにしたGNUsshキボン。割とマジで。

>>27
4.1.2 で Heartbeat が無効化されたのは2012年で、
今回の件とは別の問題に対処するためだよ。
https://android.googlesource.com/platform/external/openssl.git/+/android-4.1.2_r1

> わざわざ１コ上げて4.1.2になるとかｗ
「わざわざ」ってのはよくわかんないな。
そんなにおかしい?

>>28
>古い端末もアップデートきてた
来たのは2014年2月6日

ちゃんと文章読もうねｗｗｗｗｗお馬鹿さん

>>28
そうやって自分の数少ない知っている範疇で調子に乗るって
バカ丸出しでみっともない（笑）

>>29
「古い端末」じゃどの機種の話かわからんからなぁ。
どの機種なん?

https://www.nttdocomo.co.jp/support/utilization/product_update/list/index.html
を見てみたけど
2月にいっせいにアップデート来たって感じあんまりないな。

ID:yArm+k+lがバカ丸出しでみっともない件ｗ

>>26
http://www.lysator.liu.se/~nisse/lsh/
lshが既にある。もっとも、あらかじめなんらかの別経路で
sshd host keyの情報をクライアント側が持ってないとつながりもしない
ので使うのは大変。

またきたどー
http://ccsinjection.lepidum.co.jp/ja.html

10年間放置ｗ
やっぱメンテナが少ないオプソは糞だわ

放置とかいう個人的感想ありがとう

むしろ、現代においては、さよならしたいと
思ってもできないレベル。それくらい普及してる。

× ソースコードを皆が見てる
○ ソースコードを皆が見ることは出来るけど見ているとは限らない

まさに放置だと思うけど？

支障や動機が無ければ見ないし触らないってのはどこでも普通のことで
地道な検証を善意のボランティア()頼みってのは無理筋

笑ってお仕事の方たちも同じ感じではないでしょうか、無理ってところは

Google Is Maintaining A "BoringSSL" Fork Of OpenSSL
http://www.phoronix.com/scan.php?page=news_item&;px=MTcyNjM

googleが fork した OpenSSL とか何の冗談だよｗ
デフォでgoogle に通信内容筒抜けなんだろ？ｗ

どこがやっても基本的には筒抜けですが
商用LANと切り離したネットワークをつくらないかぎり

>>42
ソース読んで具体的に指摘してやれ。

>>44
使わなければいいだけなのに、
なんでそんな苦労をする必要があるの？