今天那个openssl的漏洞是什么情况？
rt----发送自 nubia NX403A,Android 4.2.2 前几天iOS爆SSL漏洞的时候，我无动于衷，因为我用猴机
之后GNUTLS爆漏洞的时候，我面不改色，因为我用OpenSSL库
直到今天看见楼主的帖子，我大吃一惊，赶紧滚下床开电脑拖代码跑编译去了，我路由器上的OpenSSL是1.0.1e中枪了…
不过这几天连着3个SSL相关漏洞出现是要闹哪样啊
----发送自 LGE Nexus 5,Android 4.4.2 肯定影响服务器，可能影响客户端
Firefox用的是自己的nss，就怕几天后也爆了 如果你们不信任你们和https服务器之间的链接（比如被监听之类的）
那么就去改密码 debian，7号更新了 ostcollector 发表于 2014-4-9 09:44
如果你们不信任你们和https服务器之间的链接（比如被监听之类的）
那么就去改密码 ...
毛都不懂就别瞎扯蛋 鸡蛋灌饼 发表于 2014-4-9 12:56
毛都不懂就别瞎扯蛋
获取私钥之后监听有任何问题么？ ostcollector 发表于 2014-4-9 13:02
获取私钥之后监听有任何问题么？
有功夫搞整个进程的镜像那还用搞麻烦的要死的MIM？直接上服务器了。 http://xkcd.com/1353/
http://imgs.xkcd.com/comics/heartbleed.png 本帖最后由 nonmoi 于 2014-4-10 00:03 编辑
开源社区已经是哀鸿满地了，现在爆得还不大是因为根本没有简单的普通用户可以应用的解决方案，也不知道究竟影响有多广，造成了多少的伤害。因为利用这个漏洞不会在service log上留下任何痕迹……
对于普通用户来说，即使去打了补丁也不能保证已经被感染的电脑不再继续受害，而且你根本没有简单明了的方法看出自己是否受到了感染。
HyperIris 发表于 2014-4-10 00:36
@nonmoi
能闭嘴吗？不懂还他妈瞎扯淡
你懂你说说看？ HyperIris 发表于 2014-4-10 01:13
@nonmoi
受影响的是服务器，感染个毛，什么东西受感染了？
造谣的就是你这种神马都不懂还愣充大铆钉的小白 ...
受影响的是服务器和客户端，内存泄露是双向的。
单说服务器，因为利用heartbleed黑客可以绑架服务器的安全证书，所以假设一个普通用户登陆被绑架的网站，有可能被转到非正确网址，而因为安全证书被绑架，所以浏览器仍会认为登陆的是可信任网站而非恶意网站，自然不会提出警告。这种情况下，除非用户删除所有的信任证书，否则使用被感染的电脑将会一直登陆恶意网站而不自知，认为自己登陆的是可信任网站。
nonmoi 发表于 2014-4-10 02:02
受影响的是服务器和客户端，内存泄露是双向的。
单说服务器，因为利用heartbleed黑客可以绑架服务器的安 ...
首先你内存泄露是双向的这句话问题就很大。
其次这keypair到底要什么程度的运气才能挖出来？
https://blog.torproject.org/blog/tor-weekly-news-%E2%80%94-april-9th-2014
本帖最后由 nonmoi 于 2014-4-10 04:23 编辑258921 发表于 2014-4-10 03:40
首先你内存泄露是双向的这句话问题就很大。
其次这keypair到底要什么程度的运气才能挖出来？ ...
谁知道呢，24k的迷之大礼包，每个都还不一样，有什么都有可能。
现在都不知道在过去的两年中到底有多少利用该漏洞的攻击，究竟又获得了什么数据，有什么相关后续。
对于我这样的终端用户来说，不管是DNS指向被篡改还是host 文件被修改都已经超出了我能够进行自我保护的范围了。
亚马逊、推特、雅虎都是可能的受害者，那用户端可能的受害者就太多了。
内存泄露是双向（bidirectional）又不是我说的，UDP没有TCP的握手和维生功能，非要TLS上UDP，弄出了心跳这种东西本来就是双向的。心脏出血这个心跳上出的漏洞自然也是双向的，你可以从服务器方获得泄露内存，自然也可以从终端获得内存泄漏。（比如tor就说他们的服务器不受影响，但是tor的客户端有可能因此暴露用户的网络行为等等。https://blog.torproject.org/blog/openssl-bug-cve-2014-0160）只不过从终端获得内存泄漏远不如上面提到的加强型中间人攻击来得有效了。
引用第13楼nonmoi于2014-04-10 02:02发表的:
引用:HyperIris 发表于 2014-4-10 01:13@nonmoi受影响的是服务器，感染......
逗死我了 这你从哪看来的？
----发送自 LGE Nexus 4,Android 4.4.2 EraserKing 发表于 2014-4-10 08:35
逗死我了 这你从哪看来的？
----发送自 LGE Nexus 4,Android 4.4.2
现在媒体都这么炒,随便搜搜大众媒体就有了 roadcross 发表于 2014-4-10 08:39
现在媒体都这么炒,随便搜搜大众媒体就有了
估计马上浑球时报要热炒了 而且返回的也不一定是密钥，可能刚好泄露了用户名密码
"已经有人试过了，短时间内就拿到了七对用户名和密码，并且能登录进去"
http://www.oschina.net/news/50580/openssl-fatal-hole?p=2#comments
"A flaw in software that's widely used to secure Web communications means that passwords and other highly sensitive data could be exposed. Some say they've already found hundreds of Yahoo passwords."
http://www.cnet.com/news/heartbl ... als-user-passwords/
所以不需要监听也一样可能被爆
ostcollector 发表于 2014-4-10 09:51
而且返回的也不一定是密钥，可能刚好泄露了用户名密码
"已经有人试过了，短时间内就拿到了七对用户名和密 ...
到底谁尝试了,如何尝试的,具体过程呢
我上的网站大多都不用ssl，用也是旧版本不受影响…… 虽然看不懂。。。。
今天某宝快捷支付。。。工行卡提示注册的手机号不对。。。。。
不对你妹啊
osx上safari也不象ie那样，快捷支付底下没有网银支付。。。。。每次都要快捷支付填表获取验证码然后取消快捷支付的钩。。。。
烦死了啊 258921 发表于 2014-4-10 03:40
首先你内存泄露是双向的这句话问题就很大。
其次这keypair到底要什么程度的运气才能挖出来？ ...
prprprprprprprprpr nonmoi 发表于 2014-4-10 04:16
谁知道呢，24k的迷之大礼包，每个都还不一样，有什么都有可能。
现在都不知道在过去的两年中到底有多少利 ...
我看见24K就不想继续和你说话了，多被科普科普再来说吧。 HyperIris 发表于 2014-4-10 11:22
talk is cheap, show me the code
http://heartbleed.com/
Is this a MITM bug like Apple's goto fail bug was?
No this doesn't require a man in the middle attack (MITM). Attacker can directly contact the vulnerable service or attack any user connecting to a malicious service. However in addition to direct threat the theft of the key material allows man in the middle attackers to impersonate compromised services.
Has this been abused in the wild?
We don't know. Security community should deploy TLS/DTLS honeypots that entrap attackers and to alert about exploitation attempts.
Can attacker access only 64k of the memory?
There is no total of 64 kilobytes limitation to the attack, that limit applies only to a single heartbeat. Attacker can either keep reconnecting or during an active TLS connection keep requesting arbitrary number of 64 kilobyte chunks of memory content until enough secrets are revealed.
又不是只有植入恶意程序才会让电脑被感染，换句话说，利用了该漏洞还需要植入恶意程序感染电脑么？通过冒用安全证书伪装成受信网站来获得用户数据，隐蔽性比塞个木马、开个端口不是高多了么？
我想你一直在纠结的是实际的感染，比如确实地在终端上植入了一个木马或者病毒这种。我这里说的感染是利用heartbleed漏洞对终端电脑进行某种入侵，从而使被影响的电脑在漏洞被修复后仍然存在安全问题。
我在这里一直反复重申我不懂技术，唯一能做到就是尽量使用可信的消息源。
虽然我不觉得懂技术的人就有科普的义务，但是你既然说我是胡说造谣，是不是也请指出我错在哪里，至少对“通过heartbleed漏洞，究竟有没有可能使终端电脑在该漏洞被修复后仍然存在因为该漏洞被利用而产生的安全问题？”做一个明确的回答？
258921 发表于 2014-4-10 13:20
我看见24K就不想继续和你说话了，多被科普科普再来说吧。
64k打错了 - -
奉劝股东一句，学会谦虚，别老是打肿脸撑胖子。技术这么严谨的东西张口就来只能被打脸 利用heartbleed漏洞对终端电脑进行某种入侵，从而使被影响的电脑在漏洞被修复后仍然存在安全问题。
这脑洞是更上一层楼 nonmoi 发表于 2014-4-10 13:40
http://heartbleed.com/
有这个可能。不过需要结合其他攻击方式（比如MITM）另外，这个影响可以花一定成本消除，你说担心证书被偷了，那revoke掉呗。
作为普通用户关注这事情可能存在的所谓“深远影响”根本没意义，你什么也做不了。
nonmoi 发表于 2014-4-10 13:40
http://heartbleed.com/
或者我这么说，你在这纠结这事还不如拿来关注一下这家被拖库了那家被拖库了的花边新闻，这些给你带来的安全隐患都比你现在纠结的这个大的多。
比如，我说有人手上有s1的库，你信不？ 本帖最后由 258921 于 2014-4-10 14:15 编辑
还有，就这两天实际利用的情况来看，现在这玩意带来的最直接影响是把内存中一些其他用户的请求爆了出来，这些东西都是普通的文本，很容易识别出来，里面那些sessionid和明文密码什么的带来的直接价值比费劲心思去想办法还原key要大多了。 258921 发表于 2014-4-10 14:00
有这个可能。不过需要结合其他攻击方式（比如MITM）另外，这个影响可以花一定成本消除，你说担心证书被偷 ...
那我原来的回复里究竟说错了什么，惹得那位那么生气？- -
作为普通用户其实才是最惨的，Tor说“最好这几天别上网”，Tumblr说“最好请假一天在家把密码全换了”，某安全专家（当年说windows meta file 漏洞是微软有意安装后门那位）说“先不要换密码，等网站通知了再换”。究竟要听谁的？按楼上那位的说法，某专家和Tor的说法比较靠谱？但是按照另一位的说法似乎应该听Tumblr的？
取消之前的安全证书听着简单，实际上pc上十有八九都不会弄，到了手机上更不知道要怎么弄……
页:
[1]
2