Критическая уязвимость в OpenSSL! Серьезные риски!

[inferno[DGT]]

Обнаружена критическая уязвимость в OpenSSL, рекомендую всем клиентам и коллегам-хостерам ознакомиться и принять меры по обновлению OpenSSL и сделать перевыпуск сертификатов, так как они могут быть скомпрометированы.

Подробнее тут: http://habrahabr.ru/post/218609/

[Alex_M]

К слову о платежках: http://filippo.io/Heartbleed/#interkassa.com
до сих пор не исправили, написал им в поддержку, пздц демоны[/QUOTE]

Privat туда же
http://filippo.io/Heartbleed/#pb.ua

[Alex_M]

Правильно ли я понимаю, если, к примеру, не пользоваться интернет-банкингом пока не устранена уязвимость, то всё будет норм?

[bess]

Хм вот на хабре пишут что надо еще поебаться некисло, что бы через эту дырку чтолибо вытащить

чтоб читать по 64к через UDP надо постараться и быть очень рядом в сети, реальные размеры пакетов 576, 1500 байт, много через такой свисток не выжмешь, а указывать смещения от куда читать данные возможности нет — соответсвенно, либо будешь читать из одного и того же места либо из случайных и склеить полученные данные весьма проблематично
— выкачать секретные документы через такой свисток на практике близко к невозможному
— инициализация либы происходит в порядке инициализации данных под ключи потом уже данных под соединения — соответсвенно данные что можно будет читать из хипа текущего процесса будут (вероятней всего) лежать уже после ключей и чтение будет происходить по совсем другим адресам.
— чтение слепое, нет возможности двигать окно — соответсвенно все это на удачу, реальные ключи выглядят как мусор и склеить их из нескольких пакетов задача близкая к невозможному.
— реальные сертификаты достаточно большие и не помещаются в обычные 1500 байтные пакеты, соответсвенно выкачать целиком сертификат…
В общем есть баг, серьезный, но реальная его эксплуатация это 2 ведра удачи плюс ложка интеллекта.

[inferno[DGT]]

Обновление занимает 5-10 минут времени. Ленивые могут просто наблюдать за ситуацией =) Мы продолжим обновлять сервачки наших клиентов.

[скабичевский]

Сообщение от bess

Хм вот на хабре пишут что надо еще поебаться некисло, что бы через эту дырку чтолибо вытащить

Реально наверное потырить, это пароли в открытом виде из памяти, они же коротенькие. И не столько к конкретному сайту, сколько для пополнения базы брутфорсинга. Вобщем я буду пароли менять по-любому

[smsupport]

Объясните плз доступно. Если я арендую сервер, и у меня там стоит ispmanager, захожу на него через https, мне стоит обновляться?

[inferno[DGT]]

smsupport, ну если ты не хочешь, чтобы свистанули твои пароли, с которыми ты лезешь в ISP Manager - однозначно стоит.

[rushter]

Сообщение от bess

Хм вот на хабре пишут что надо еще поебаться некисло, что бы через эту дырку чтолибо вытащить

На боевых тачках с нормальный трафиком каждый 10 запрос выдаст тебе куку или логин+пароль для авторизации

[creator123]

гугль хотя бы уже успел кто-то взломать то?

[ssoleg]

хороший однако день сегодня, яху буквально минут 10 назад прикрыли парсинг, райфазен только к 8 вечера

Сообщение от smsupport

Объясните плз доступно. Если я арендую сервер, и у меня там стоит ispmanager, захожу на него через https, мне стоит обновляться?

скажем так, если у тебя не мега популярный ресурс, то тебя будет теребонькать исключительно личный враг, и ему надо не просто дождаться твоего логина, но и поймать чтобы эти данные были в спарсенном куске памяти, что наверно проблематично, тк выбрать конкретную область памяти нельзя.