Chi ha proposto di aggiungere heartbeat a SSL? E chi ha proposto la sua forma?

Question

Chi ha proposto di aggiungere heartbeat a SSL? E chi ha proposto la sua forma?

#1 da (10 voti)

9

Quindi ora sappiamo chi ha scritto il codice errato (Robin Seggelmann). E abbiamo un'idea del motivo per cui è necessario: Perché TLS bisogno di un protocollo di heartbeat esplicito?

Possiamo anche capire perché il cliente fornisce la lunghezza: Heartbleed: perché il client fornisce la lunghezza del messaggio?

Ma chi ha proposto la forma del battito cardiaco ssl? Potrebbe esserci qualche nefasto input da parte dell'NSA nella speranza che qualcuno lo codifichi nel modo sbagliato e lo lasci vulnerabile per un più facile spionaggio?

Ho sentito voci che hanno aggiunto difetti a diversi schemi di crittografia (se potessi citare quali e dove vorrei), questo potrebbe essere ancora un altro modo in cui hanno introdotto l'insicurezza nel loro desiderio di avere una copia di tutto?

So che sembra che io stia indossando un cappello di carta stagnola, ma viste le lunghezze che sono passate dall'11 settembre, questo non sembra fuori dal regno del possibile.

heartbleed

posta boatcoder 13.04.2014 - 07:09

fonte

1 risposta

Leggi altre domande sui tag heartbleed

Content-Security-Policy hash di script Quali sono le implicazioni dell'esecuzione di un nodo di inoltro non uscita da Tor?

score 10 · Accepted Answer

Il RFC6520 che descrive i battiti del cuore ha avuto R. Seggelmann di Muenster Univ. di Appl. Scienze come suo primo autore. Seggelmann nega intenzionalmente di introdurre il difetto e afferma di non essere affiliato con alcun agenzia di intelligence . Allo stesso modo, la NSA e il Director of Homeland Security hanno negato pubblicamente di conoscere la vulnerabilità di Heartbleed, anche se Bloomberg ha segnalato da due persone che hanno familiarità con la questione che la NSA conosceva la vulnerabilità e la utilizzava regolarmente .

Certo, guardando i registri di uscita sembra che gli aggressori stiano usando attacchi di stile heartbleed in the wild l'anno scorso dagli indirizzi IP che sembrano essere stati usati per registrare sistematicamente le chat IRC (rendendo sospette le agenzie di intelligence). (Quindi, anche se non hanno introdotto heartbeat, sembra che ne fossero a conoscenza e non l'hanno rivelato pubblicamente).

Inoltre, le cose strane sono che due gruppi indipendenti hanno apparentemente perso il cuore (google e codenomicon) sul stesso giorno oltre due anni dopo che OpenSSL ha rilasciato il vulnerabile protocollo HB in 1.0.1. L'ingegnere di google ha twittato affermando "I modelli di allocazione dell'heap rendono improbabile l'esposizione della chiave privata #heartbleed #dontpanic" , mentre codenomicon ha twittato" Siamo certi che "le chiavi di crittografia possono essere rubate .