Dešifrování dat z děravého OpenSSL ve Wiresharku

O chybě v OpenSSL v Debianu se už napsalo mnoho, ale nyní byl vytvořen modul pro Wireshark, který umožňuje snadné dešifrování a prohlížení komunikace, ke které bylo použito právě toto děravé OpenSSL.

20.7.2008 15:14 | Luboš Doležel (Doli) | Zajímavý software

Komentáře

[Käyttäjä 11133]

[Michal Fecko]

[Anmov]

[Viliam Púčik]

[Grunt]

[andree]

[wtf]

?

[Michal Marek (twofish)]

!

[dayvee]

+1

[Michal Fecko]

[Viliam Púčik]

[Brokarna]

[Pavel Půlpán]

[XoRaGenCz]

Jak koukám na reakce na zpravičku. Tak se z toho začíná stávat smajlikijáda.

[Käyttäjä 11133]

To jo no a přitom ten první příspěvek vypadal tak neškodně. No já doufám, že se balíkáři (a nejen ti debianí) naučili, že na důležité kryptografické knihovny se (pokud to není nezbytně nutné) nesahá.

[David Jaša]

A taky, že se nesmí věřit prohlášením z upstreamu typu "tohle vypadá bezpečně, klidně to použijte".

[Käyttäjä 11133]

Prohlášení jednoho člověka na veřejném mailinglistu... Teda pokud si to dobře pamatuju, hledat to kvůli tomu nebudu.

[Michal Fecko]

Dufam ze som to nebol ja po nejakej prebdenej noci =]

[Jendа]

Jestli jo, tak si pro tebe dojedu a něco se ti stane...

[Michal Fecko]

[David Jaša]

Jak že probíhá komunikace mezi jinými projekty?

[trekker.dk]

Developři se každý den gathernou v mítingrůmu, tam udělaj slajdšou o tom, jaký jsou problémy a jak je solvnou. Cos myslel? Taková slavná osoba jako je Linus Torvalds přece nebude s ostatními vývojáři komunikovat jen tak na veřejném mailing listu...

[Michal Ludvig]

Apdejtuj si slovník! V mítingrůmu se neřeší problémy, ale čelenže

[trekker.dk]

Ou fak, to jsem zapomněl.

[trekker.dk]

Prohlášení jednoho člověka na veřejném mailinglistu...

Prohlášení jednoho vývojáře na veřejném mailinglistu.

[Ondrej]

chjo, zas tak moc toho ten clovek nezvoral, aby zacalo platit vyvojar != clovek

[dayvee]

chybovat je lidske z toho bychom mohli usoudit, ze v tomto pripade (vyvojar == clovek) = 1

[trekker.dk]

Tím jsem chtěl říct, že to nebyl jen tak nějaký člověk, ale vývojář z upstreamu. U toho bych taky předpokládal, že ví, co říká.

[anicka]

No já doufám, že se balíkáři (a nejen ti debianí) naučili, že na důležité kryptografické knihovny se (pokud to není nezbytně nutné) nesahá.

Někdy nemáš na výběr, nedělat nic je špatně. Každopádně je ale lepší věci, o kterých nikdo neví, a které nehoří, spravovat ve spolupráci s upstreamem. (Když to jde... zrovna s openbsďáky je to dost těžké.)

Já v našem distribučním ssh opravovala nemálo bugů a nutno říct, že skoro za každou mohl nějaký náš vlastní patch. Takže poučení jsou dvě: upstreamovat! upstreamovat! upstreamovat! a když něčemu kurňa pořádně nerozumím, tak si seženu někoho, kdo si po mně ten patch přečte a kdyžtak mi ho omlátí o hlavu (a udělám to i kdybych měl pocit, že to musím mít dobře).

Ten človíček z Debianu aby teď chudák nadosmrti chodil kanálama... Je mi ho moc líto, protože si umím představit, že krávovinu srovnatelných následků ve spěchu klidně spáchám taky. Jen se (asi narozdíl od něj) poctivě snažím shánět lidi, co si to po mně přečtou dřív, než to odevzdám.

[Käyttäjä 11133]

Ten človíček z Debianu aby teď chudák nadosmrti chodil kanálama...

To mi povídej, taky mi ho je chudáka líto...

Mi šlo spíš o to, že ten patch ve skutečnosti neopravoval žádnou chybu, jen nějakou blbost co zařval valgrid, když se to stane při opravě chyby, že člověk něco přehlédne/špatně pochopí tak se nedá nic dělat, člověk není neomylný.. v tomhle případě mi to však připadá jako zbytečná chyba.

[trekker.dk]

a když něčemu kurňa pořádně nerozumím, tak si seženu někoho, kdo si po mně ten patch přečte a kdyžtak mi ho omlátí o hlavu (a udělám to i kdybych měl pocit, že to musím mít dobře).

Ten človíček z Debianu aby teď chudák nadosmrti chodil kanálama...

Přesně to, co píšeš, ten človíček z Debianu udělal. Sehnal někoho, kdo to po něm přečetl, dotyčný prohlásil, že OK, to se může klidně udělat.

[anicka]

Tak pak je to tim vetsi chudak Ja mam sice kolem sebe stesti na lidi, co nejsou az tak zmateni, ale to uz si bohuzel asi nemohl vybrat