Re: уязвимость OpenSSL
On Sat, Apr 12, 2014 at 03:48:24PM +0400, Eugene Berdnikov wrote:
> On Sat, Apr 12, 2014 at 11:46:09AM +0100, Stanislav Maslovski wrote:
> > On Thu, Apr 10, 2014 at 10:38:43PM +0400, Eugene Berdnikov wrote:
> > > Нет, heartbleed это уязвимость против активной атаки специально
> > > сконструированными пакетами, которых в нормальном ssl-ном трафике
> > > не бывает. Прослушанный трафик в плане heartbleed бесполезен.
> >
> > Что-то я в это не уверен, хоть в детали и не вникал. Если там
> > утечка через неинициализированные данные -
>
> Никаких "неинициализированных данных" там и близко нет, там выход за
> границы. Почитайте лучше про суть атаки, чем фантазировать попусту.
А что это меняет? По последствиям, выход за границы некой структуры в
пределах общей heap - та же самая утечка, что и через неинициализированные
данные.
Безотносительно к конкретному программному механизму утечки, при достаточно
долгом пассивном наблюдении за каналом и при наличии на руках проблемного
исходного кода, из собранных данных, вероятно, можно восстановить те же
самые "до 64 К" памяти поражённого процесса. Понятно, что это сделать
сложнее, чем в случае активной атаки, но в принципе возможно, я думаю.
Так что, лучше перебдеть, чем недобдеть.
--
Stanislav
Reply to: