SigSpoof, bezpečnostní chyby CVE-2018-12020, CVE-2018-12019, CVE-2018-12356 v GnuPG, Enigmail, GPGTools, python-gnupg a pass

Na blogu projektu NeoPG (GitHub), kryptografického softwaru vycházejícího z GnuPG, byly zveřejněny 4 příspěvky detailně popisující aktuální bezpečnostní problémy v GnuPG a souvisejících softwarových produktech. V prvním příspěvku je ukázáno, že je možné vytvořit zprávu, o které budou Earlybird, Evolution, Mutt nebo Outlook tvrdit, že jí dešifrovali a přitom ale zpráva vůbec zašifrována nebyla. V druhém příspěvku je popsána bezpečnostní chyba CVE-2018-12020 s názvem SigSpoof. Útočník může vytvořit elektronický podpis, o kterém budou GnuPG, Enigmail, GPGTools a python-gnupg tvrdit, že je v pořádku, a přitom se o podpis nejedná a útočník nemá přístup k požadovaným klíčům. Třetí příspěvek je věnován obdobné bezpečnostní chybě CVE-2018-12019 s názvem SigSpoof 2 v Enigmailu. Poslední příspěvek popisuje chybu CVE-2018-12356 s názvem SigSpoof 3. Jedná se o chybu ve správci hesel pass.

Komentáře

Zaujímave je, že mne správička s CVE-2018-12020 neprešla.

Ale nevadí.

Root v linuxe : "Root povedal, linux vykona."

18.6.2018 00:02 Max | skóre: 72 | blog: Max_Devaine
Rozbalit Rozbalit vše Re: SigSpoof, bezpečnostní chyby CVE-2018-12020, CVE-2018-12019, CVE-2018-12356 v GnuPG, Enigmail, GPGTools, python-gnupg a pass

Protože v ní bylo řečeno jen to, že CVE bylo opraveno + odkaz na mailing list, nic víc.
Zdar Max

Měl jsem sen ... :(

18.6.2018 00:12 ewew | skóre: 40 | blog: ewewov_blog
Rozbalit Rozbalit vše Re: SigSpoof, bezpečnostní chyby CVE-2018-12020, CVE-2018-12019, CVE-2018-12356 v GnuPG, Enigmail, GPGTools, python-gnupg a pass

Pri poslednej úprave som to trochu zjednodušil. Zrejme tam chýbal ten popis čo je to za chybu v predchádzajúcich verziach správičky.

Root v linuxe : "Root povedal, linux vykona."

19.6.2018 08:57 _
Rozbalit Rozbalit vše Re: SigSpoof, bezpečnostní chyby CVE-2018-12020, CVE-2018-12019, CVE-2018-12356 v GnuPG, Enigmail, GPGTools, python-gnupg a pass

Je ti pět, že za každým příspěvkěm píšeš zdar max?

19.6.2018 20:46 Max | skóre: 72 | blog: Max_Devaine
Rozbalit Rozbalit vše Re: SigSpoof, bezpečnostní chyby CVE-2018-12020, CVE-2018-12019, CVE-2018-12356 v GnuPG, Enigmail, GPGTools, python-gnupg a pass

To, že se místo "Odin" podepíšeš "_" neznamená, že to nikdo nepozná :).
Zdar Max

Měl jsem sen ... :(

Jaký je důvod, proč chtějí začít nový projekt, místo toho, aby přispěli opravami do původního projektu?

Mám rád, když se lidé přou, znamená to, že vědí, co dělají, a že mají směr. Frantovo.cz, SQL-DK, Relational pipes

16.6.2018 14:12 marbu | skóre: 31 | blog: hromada | Brno
Rozbalit Rozbalit vše Re: NeoPG?

Řekl bych, že mají na způsob vývoje a spoustu implementační detailů dost odlišný názor, rádi by zahodily spoustu legacy věcí. Na webu píšou:

It starts out as an opinionated fork of the GnuPG code base, and hopefully will evolve to something entirely different.

Pro lepší kontext viz NeoPG Slides, ale jen jsem to prolítnul.

There is no point in being so cool in a cold world.