Heartbleed, Czyli Serwery Krwawią Danymi

[MaxPan]

https://niebezpiecznik.pl/post/heartbleed-zebral-niezle-zniwo-jak-wyglada-internet-2-dni-po/

[jimmi]

PiO już od wczoraj ma aktualizacje, kto chce to powinien sobie hasło zmienić tak na wszelki wypadek

[INOMan]

Tutaj można przetestować swój serwer/domenę:

https://filippo.io/Heartbleed/

[Beerbant]

NSA i tak ma wszystkie dane to po uja się sprężać

[SzlafRock]

NSA i tak ma wszystkie dane to po uja się sprężać

Ciekawe czy dadzą kopie jak posypią się serwery.

Nikt nigdy nie był i nie będzie bezpieczny. Trzeba zabezpieczyć się tylko przed gimbusami i można spać spokojnie.

[T-K]

W sensie że gimby ja wejd"o" to znicz"o". A ślużby pobiorą co chcą i zostawią w spokoju ?

Ja mam kilka ciekawszych teorii o bezpieczeństwie, np. sprzętowe bugi robione na polecenie różnych mosadów.

[SzlafRock]

Gimby swojo drogo, ale czy ten problem nie był znany wcześniej i kto go znał.

[T-K]

Błąd odkryty niedawno, ale podatność nie jest nowa (1.0.1 wyszło w marcu 2012). Pojawia się pytanie czy ktoś o tym już wiedział wcześniej. A o ile wiedział, to na pewno nie atakował losowych i przypadkowych serwerów.

Bajer fajny choć łatwy do wykrycia.

[SzlafRock]

Pojawia się pytanie czy ktoś o tym już wiedział wcześniej.

Można pytanie rozwinąć i zapytać czy "błąd" był celowy i kto za tym stoi. Czyżby "furtka"?

[Herkules]

Z życia wzięte

8:15 telefon stacjonarny (człowiek śpi po nocce)- "Dzień dobry firma ta i ta..zaprasza na masaż" moja odpowiedź "Nie dziękuje proszę tutaj nie dzwonić"

9:11 - witam dzwonimy do pana z ofertą Canal + (której nigdy nie miałem i nigdy nie korzystałem), "Skąd macie moje dane?" cisza..

W środę dzwoni do mnie firma ubezpieczeniowa (zdarzenie z września tamtego roku, wiedzieli wszystko jak złamałem palca kto poniósł za to pewną odpowiedzialność)..

Więc już dawno nie ma czegoś jak bezpieczeństwo naszych danych, są tylko miejsca które ich jeszcze nie wykorzystały

[Radeq]

Czy jak serwer ma openssl version 0.9.8o 01 Jun 2010 to jest odporny na Heartbleed?

[T-K]

Pojawia się pytanie czy ktoś o tym już wiedział wcześniej.

Można pytanie rozwinąć i zapytać czy "błąd" był celowy i kto za tym stoi. Czyżby "furtka"?

Pewnie rozważnie jest wygenerować nowe klucze SSL. Wątpię, żeby ten błąd był znaleziony przez analizę kodu, prędzej ktoś googlowi memdumpa robił i się połapali.

NSA i tak ma wszystkie dane to po uja się sprężać

Bo teraz je mogą odszyfrować ;p