HeartBleed

#1
psycho22

Posted 20 April 2014 - 12:23

Member

Grup: Members
Posts: 334
Înscris: 11.02.2014

In primul rand, paste fericit!

Probabil ati citit cu totii despre bug-ul descoprit in Open SSL. Eu nu inteleg cum acei oameni au putut exploata acest bug. Stiu ca OpenSSL se ocupa de criptarea informatiilor. Pentru ca un cracker sa se poata folosi de acest bug, trebuie in primul rand sa aiba acces la informatiile criptate. Adica acele informatii sa treaca pe la el. Practic, computerul crackerului sa fie un nod intre client si internet. Cum naiba se poate face asa ceva?
O explicatie ar fi: niste programe malware care modifica setarile de retea ale clientului astfel incat computerul crackerului sa fie defapt routerul de internet al victimei. Dar vreau o confirmare de la un specialist.

P.S. Nu intreb pentru ca ma visez vreun cracker, ci pentru ca sunt pasionat de securitate informatica si dincolo de programarea obisnuita vreau sa invat si putin software engineering.

Back to top

#2
dani.user

Posted 20 April 2014 - 12:33

Guru Member

Grup: Senior Members
Posts: 30,233
Înscris: 24.02.2007

Atunci cand nu ai grija cu pointerii si alocatul memoriei ajungi sa scrii in/citesti din locatii "nepermise". Ori asa au gasit ei un mod de a exploata serverele si sa citeasca diverse informatii din memoria lor, care n-ar fi fost in mod normal accesibile. Informatii ca de exemplu parola proaspat decriptata a unui utilizator.

Back to top

#3
MooF2010

Posted 20 April 2014 - 12:33

Senior Member

Grup: Senior Members
Posts: 5,326
Înscris: 24.05.2010

Ramai pasionat, ca nu ai idee despre ce e vorba in acel articol. De unde ai scos partea cu nod intre client si internet?

Back to top

#4
danzi23

Posted 20 April 2014 - 12:41

Senior Member

Grup: Senior Members
Posts: 6,072
Înscris: 14.08.2013

[ https://www.youtube-nocookie.com/embed/1dOCHwf8zVQ?feature=oembed - Pentru incarcare in pagina (embed) Click aici ]

de mentionat ca cei care au exploatat acest bug, nu inseamna ca au pus mana pe informatii importante.
e ca un joc de noroc, poate s-au ales cu chestii inutile sau cu o parola necriptata.

Back to top

#5
BMW

Posted 20 April 2014 - 12:56

Member

Grup: Members
Posts: 504
Înscris: 25.09.2005

http://2.bp.blogspot...explanation.png

Back to top

#6
danzi23

Posted 20 April 2014 - 13:08

Senior Member

Grup: Senior Members
Posts: 6,072
Înscris: 14.08.2013

BMW, on 20 aprilie 2014 - 12:56, said:

http://2.bp.blogspot...explanation.png

sursa originala: http://xkcd.com/1354/

Recomand site-ul. Geek humor de calitate

Back to top

#7
psycho22

Posted 20 April 2014 - 13:20

Member

Grup: Members
Posts: 334
Înscris: 11.02.2014

MooF2010, on 20 aprilie 2014 - 12:33, said:

Ramai pasionat, ca nu ai idee despre ce e vorba in acel articol. De unde ai scos partea cu nod intre client si internet?

M-am referit la "nod intre client si server". Am folosit "internet" ca si termen general, un fel de "intre client si oricare server". Dar ai dreptate, nu e corecta exprimarea. Posted Image

dani.user, on 20 aprilie 2014 - 12:33, said:

Atunci cand nu ai grija cu pointerii si alocatul memoriei ajungi sa scrii in/citesti din locatii "nepermise". Ori asa au gasit ei un mod de a exploata serverele si sa citeasca diverse informatii din memoria lor, care n-ar fi fost in mod normal accesibile. Informatii ca de exemplu parola proaspat decriptata a unui utilizator.

Eu am citit ca greseala era in protocol. Toate serverele care foloseau OpenSSL aveau potentialul de a fi exploatate. Daca greseala era in alocarea memoriei, adica un bug in aplicatia care ruleaza pe server, greseala era cel mult pe un server si nu se alertau toti gigantii web (facebook, yahoo, reddit).

Edited by psycho22, 20 April 2014 - 13:21.

Back to top

#8
dani.user

Posted 20 April 2014 - 13:23

Guru Member

Grup: Senior Members
Posts: 30,233
Înscris: 24.02.2007

Protocolu e un standard, un limbaj comun.
Greseala era in alocarea memoriei in cadrul OpenSSL, in anumite versiuni ale OpenSSL.

Back to top

#9
adrian93

Posted 20 April 2014 - 15:05

Active Member

Grup: Members
Posts: 1,740
Înscris: 29.10.2009

psycho22, on 20 aprilie 2014 - 12:23, said:

Adica acele informatii sa treaca pe la el. Practic, computerul crackerului sa fie un nod intre client si internet. Cum naiba se poate face asa ceva?

Ceea ce ai menționat tu este altceva: man-in-the-middle.
http://en.wikipedia....e-middle_attack

Edited by adrian93, 20 April 2014 - 15:06.

Back to top

Anunturi

Neurochirurgie minim invazivă

"Primum non nocere" este ideea ce a deschis drumul medicinei spre minim invaziv.

Avansul tehnologic extraordinar din ultimele decenii a permis dezvoltarea tuturor domeniilor medicinei. Microscopul operator, neuronavigația, tehnicile anestezice avansate permit intervenții chirurgicale tot mai precise, tot mai sigure. Neurochirurgia minim invazivă, sau prin "gaura cheii", oferă pacienților posibilitatea de a se opera cu riscuri minime, fie ele neurologice, infecțioase, medicale sau estetice.

www.neurohope.ro

HeartBleed

#1 psycho22 Posted 20 April 2014 - 12:23

#2 dani.user Posted 20 April 2014 - 12:33

#3 MooF2010 Posted 20 April 2014 - 12:33

#4 danzi23 Posted 20 April 2014 - 12:41

#5 BMW Posted 20 April 2014 - 12:56

#6 danzi23 Posted 20 April 2014 - 13:08

#7 psycho22 Posted 20 April 2014 - 13:20

#8 dani.user Posted 20 April 2014 - 13:23

#9 adrian93 Posted 20 April 2014 - 15:05

Anunturi

▶ 0 user(s) are reading this topic

Sign In

#1
psycho22

Posted 20 April 2014 - 12:23

#2
dani.user

Posted 20 April 2014 - 12:33

#3
MooF2010

Posted 20 April 2014 - 12:33

#4
danzi23

Posted 20 April 2014 - 12:41

#5
BMW

Posted 20 April 2014 - 12:56

#6
danzi23

Posted 20 April 2014 - 13:08

#7
psycho22

Posted 20 April 2014 - 13:20

#8
dani.user

Posted 20 April 2014 - 13:23

#9
adrian93

Posted 20 April 2014 - 15:05