昨年の Heartbleed, POODLE, 今年は FREAK と、「お祭り」の続いた（続いている）
SSL 界隈。
Heartbleed は OpenSSL で、後者は SSL 3.0 と過去の経緯によるものでありまぁあれこれありますねぇぇ。。。
3/19 には OpenSSL でまたいろいろと・・・うーむ。
https://www.openssl.org/news/secadv_20150319.txt
fork し作られている libressl はどんなんかなとみてみると
http://ftp.openbsd.org/pub/OpenBSD/LibreSSL/libressl-2.1.6-relnotes.txt
さすがに全てではないものの、対応済みや該当のコード自体無い場合がいくつか。
2014年4月21日月曜日
OpenSSL おそうじの件
fork したものに当分名称はつかない模様。
http://undeadly.org/cgi?action=article&sid=20140418063443&pid=3
OpenBSD まわりはやはり undeadly.org 見ておくのが良いですな。
http://undeadly.org/cgi?action=article&sid=20140418063443&pid=3
OpenBSD まわりはやはり undeadly.org 見ておくのが良いですな。
2014年4月8日火曜日
OpenSSL の件
Heartbleed Bug
とゆうので賑わってたのだけど、そもそも自分は
ハートビート拡張がなんなのか知らない
という・・・ orz
各ディストリビューションでの対応は〜〜みたいなエントリはボコボコ立ってるので、ハートビート拡張とわなんぞや、OpenSSLでやらかした missing bounds check でここがこ〜なってるからやばいのよね、みたいなくわしい解説をしてるとこをちゃんとみておきたい。一方GnuTLSだとこうなってる、とかも。
こういうソフトウェアのCIってどうやってるんだろうね。
RFC6520
https://tools.ietf.org/html/rfc6520
1.0.1f と 1.0.1g の diff とってみたものの、、うーん、なんだこれ。
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0160
のとおり、素直にgit.openssl.orgでdiffみればいいか。
関連サイト追記:
Theo 様からのお言葉
http://undeadly.org/cgi?action=article&sid=20140408063423
とゆうので賑わってたのだけど、そもそも自分は
ハートビート拡張がなんなのか知らない
という・・・ orz
各ディストリビューションでの対応は〜〜みたいなエントリはボコボコ立ってるので、ハートビート拡張とわなんぞや、OpenSSLでやらかした missing bounds check でここがこ〜なってるからやばいのよね、みたいなくわしい解説をしてるとこをちゃんとみておきたい。一方GnuTLSだとこうなってる、とかも。
こういうソフトウェアのCIってどうやってるんだろうね。
RFC6520
https://tools.ietf.org/html/rfc6520
1.0.1f と 1.0.1g の diff とってみたものの、、うーん、なんだこれ。
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0160
のとおり、素直にgit.openssl.orgでdiffみればいいか。
関連サイト追記:
Theo 様からのお言葉
http://undeadly.org/cgi?action=article&sid=20140408063423
登録:
投稿 (Atom)