OpenSSLの重大なバグって

**仕様書無しさん** · 2014/04/08(火) 22:52:56.23

いくらお前らでも対策できないよな

**仕様書無しさん** · 2014/04/25(金) 10:55:22.73

論理学的には最新のWindowsがオープンソースだろうがなかろうが
WinXPの安全性の真偽の命題には関係ないね。はい次の人どうぞ。

**仕様書無しさん** · 2014/04/25(金) 11:36:20.55

>>48
なんでXPを推すの？

**仕様書無しさん** · 2014/04/25(金) 14:20:25.54

XPとだけ比べて欲しいから。
XPとなら勝てる（それ以降では負ける）と
思っているから。

**仕様書無しさん** · 2014/04/25(金) 15:00:20.33

クローズドソースなら安心という人はXPなんとかして下さいよ

**仕様書無しさん** · 2014/04/25(金) 15:02:30.36

何とかする＝新しいOSにアップグレードする。

どうせLinuxだって新しいOSにアップグレードするだろ？
でGUIとか変えられちまうだろ？
なんもかわらん。

**仕様書無しさん** · 2014/04/25(金) 15:51:56.04

やはり最強は北朝鮮が制作したRedStarLinuxだな

**仕様書無しさん** · 2014/04/25(金) 20:30:16.06

OSSが悪いんじゃなくて
OSSなんかにかぶれてしまう奴の作るものは品質が落ちるだけ。
OSSだから直せない奴が悪いと逃げ続けテストを怠る。
大体、テストなんてつまらんことは、クローズドな環境で
業務に人生がかかってる社畜に無理矢理やらせないとまともにやるわけないだろ。

**仕様書無しさん** · 2014/04/25(金) 21:08:34.26

オープンだろうがクローズだろうが
規模が大きくなれば同じ事。

**仕様書無しさん** · 2014/04/26(土) 03:17:33.58

>>51
バカなの？それとも詭弁を弄してるつもりなの？

**仕様書無しさん** · 2014/04/26(土) 23:05:13.41

OpenSSLプロジェクトはお金と人を入れられるようでなにより
http://www.atmarkit.co.jp/ait/articles/1404/25/news150.html

**仕様書無しさん** · 2014/04/27(日) 05:41:42.00

俺33だが30とは赤の他人だぞ

**仕様書無しさん** · 2014/04/27(日) 10:36:43.97

やっぱオープンソースって開発元がまともにテストしてないし
利用者側もまともにテストしない

こうやって実際の事故からフィードバックしていくから長い目でみれば強固になっていくけど
ユーザーが人柱になっていくという考え方は企業ユース、特にインフラ系には馴染まないのではないだろうか

**仕様書無しさん** · 2014/04/27(日) 12:50:29.96

ドッグフードを食べるって知っているか？

割とよく知られるようになったのは戦うプログラマーあたりからだけど、
テストは万能じゃないから結局使いながらしかないってことなんだけどね。

**仕様書無しさん** · 2014/04/27(日) 13:26:55.51

よくハード屋がソフト屋の品質に対する態度、特に後からネットでアップデートを配信すような行為を嘲笑するけど
ハード屋のミスは自動車会社で言えばリコールなどが起きれば大騒ぎなわけで、
いかにして隠蔽するかという動機がより強く働くようになる。

**仕様書無しさん** · 2014/04/27(日) 20:37:20.96

ドッグフードの話ってのはテストの有効性というより、もっと精神論的な、
自分で使えないようなものは本当に力を入れては作らない（だから使うべきだ）
ということじゃないの？

オプソ信者ってのはやっぱオープンイコール良い事、バグがすくなるなる、
みたいなこと根拠も無いのに言い過ぎたんだと思うよ。

金を取る商品だから、セキュリティ対策は万全にする。どこの馬の骨とも
知れぬやつがレベルの低いコードを混入させる恐れが少ないからセキュリティ
の問題が起きにくいのだ、といっても（その真偽は別として）理屈としては
通るでしょ。
それと同じような実証や調査を経ていない幻想だったんだよ。
オープンソース安全神話。

**仕様書無しさん** · 2014/04/27(日) 21:31:06.42

>>60
テストが万能じゃないからって、テストを放棄していいわけじゃない
そして>>59はオープンソースはドッグフードを食べてないって話をしてるんだよ
そもそもドッグフードを食べる話だってWindowsの事じゃないか

**仕様書無しさん** · 2014/04/27(日) 22:04:15.83

不具合なんかテストで見つけるもんであって
ソース読んで探すものじゃないからな

**仕様書無しさん** · 2014/04/27(日) 22:47:25.39

その後見つかった不具合は
ソース読んで直すんだからな。

**仕様書無しさん** · 2014/04/27(日) 22:48:10.95

脆弱性（不具合）を見つけるとき
ハッカーはソース読むんだからな。

**仕様書無しさん** · 2014/04/27(日) 22:50:49.33

おまえら何の話してんの？

**仕様書無しさん** · 2014/04/29(火) 00:07:37.48

お前ら、ドッグフードにソースかけて食うのか？

**仕様書無しさん** · 2014/04/29(火) 00:38:45.54

おまえらが食ってるのはタコの足だよ

**仕様書無しさん** · 2014/05/14(水) 10:02:20.24

>>25
heartbeatな

**仕様書無しさん** · 2014/05/14(水) 14:51:38.72

どんなに時が早く過ぎてもふたりだけはこのままでいようと誓った

**仕様書無しさん** · 2014/05/16(金) 20:21:26.85

>>32
そんなものはとっくの昔に無いと思う。

>>38
こないだの IE のセキュリティホール騒ぎに比べたら断然説明しやすいわな。

**仕様書無しさん** · 2014/05/20(火) 20:36:56.03

>>72
> >>32
> そんなものはとっくの昔に無いと思う。

ESRの伽藍とバザールもそんなこと言ってないがね。
だから「神話」なんだろうが。

**仕様書無しさん** · 2014/05/24(土) 18:45:46.04

しかしきたねーわかりにくいソースだなぁ

**仕様書無しさん** · 2014/05/25(日) 21:58:14.01

だかそれがいい。

**仕様書無しさん** · 2014/06/06(金) 21:02:51.94

また脆弱性きたです

**仕様書無しさん** · 2014/06/07(土) 00:04:51.95

うわー月曜行きたくねえ。

**仕様書無しさん** · 2014/06/17(火) 09:19:15.39

果たしてTheoは救世主となるか?

**仕様書無しさん** · 2014/06/17(火) 09:48:36.39

TheOpenSSL 2.0まだー？

**仕様書無しさん** · 2014/06/29(日) 22:53:31.82

>>66
半分間違い。
実際にそれをよくやってる俺に言わせてみれば、コードを読んで「これ、バグだろ」って思うことは絶対にない。
動作をさせてみて、変な動作に気が付いて、デバッガでプロセスにアタッチしながらソースを見る。
そうやって、データの変化を見て、あれ？ここの処理？？みたいな感じで発見に至る。

**仕様書無しさん** · 2014/06/30(月) 02:08:21.43

>>80
それは君の能力が足りないだけでは。

**仕様書無しさん** · 2014/06/30(月) 02:31:43.98

>>81
違うよ

**仕様書無しさん** · 2014/06/30(月) 02:56:52.79

>>82
やっぱり能力不足だ（確信）

**仕様書無しさん** · 2014/06/30(月) 03:00:32.80

652 ：名無しさん＠お腹いっぱい。：2014/06/29(日) 03:18:05.44 ID:mldN4Sgm
(略)Heartbleedはサーバ側のバグであって (略)

654 ：名無しさん＠お腹いっぱい。：2014/06/29(日) 04:32:12.49 ID:HzuQuOzg
>>652
(略)Heartbleedバグはクライアント側でも発症するバグだから理解が足りてないよ。 (略)

655 ：名無しさん＠お腹いっぱい。：2014/06/29(日) 06:24:45.46 ID:cWXGt/QO
>>654
(略)もう一度言うけどサーバ側のバグだからね
バグのあるサーバを悪用すればクライアントから情報を引き出すこともできるので
新しい鍵に更新してくださいって話だよ
>Heartbleedバグはクライアント側でも発症するバグだから
クライアント側でどのようなバグが発症するの？
具体的にどうぞ

660 ：名無しさん＠お腹いっぱい。：2014/06/29(日) 06:57:59.11 ID:HzuQuOzg
>>655 (略)
> クライアント側でどのようなバグが発症するの？
指摘されてんだからちゃんと調べてから反論しろよアホ。サーバ側で起きるのと全く同じ現象が起きる。
Heartbleedは細工されたHeartbeatメッセージを受けとったOpenSSLライブラリが隠しておくべきデータを返すバグ。
Heartbeatはサーバクライアント双方が送信できるメッセージだからクライアント側のデータもしっかりと盗まれる。
攻撃側がサーバになるから攻撃サーバに接続させるための攻撃手順が必要になるし、
盗まれうるデータもサーバの場合よりマシな事が多いからあまり言及されていないだけ。(略)

**仕様書無しさん** · 2014/06/30(月) 03:01:03.25

662 ：名無しさん＠お腹いっぱい。：2014/06/29(日) 08:54:33.38 ID:lqcrEoFq
>>660
>クライアント側のデータもしっかりと盗まれる。
だからこれはサーバ側のバグだろうが
メモリの内容を読み取るバグはサーバ側にあったんだよ
悪用すればクライアント側のメモリの内容を引き出すこともできるので
サーバ側のバグを潰したバージョンアップをした上で
バグサーバを悪用できないようにクライアント側の鍵も更新したわけ
>指摘されてんだからちゃんと調べてから反論しろよアホ。
指摘され修正されたのは上記の内容であって
クライアント側のバグなど指摘されていないｗ (略)

664 ：名無しさん＠お腹いっぱい。：2014/06/29(日) 09:28:28.68 ID:HzuQuOzg
(略) >>662
おまえ・・・原理まで説明されてるのに誤解続行とか信じられんレベルで馬鹿だな・・・(略)
http://www.infoq.com/jp/news/2014/04/android_heartbleed
> Googleは先週，Android 4.1.1にOpenSSLのHeartbleedバグが影響することを発表した
> TLS heartbeatには対称性があるため，クライアントとサーバのいずれがエンドポイントである場合にも悪用される可能性がある
http://www.cisco.com/cisco/web/support/JP/112/1122/1122331_cisco-sa-20140409-heartbleed-j.html
> 影響を受けるデバイスは、 SSL コネクションを終端する SSL サーバまたは、SSL コネクションを開始する SSL クライアントです
http://tosebro.hatenablog.com/entry/2014/04/27/013015
> リバースHeartbleedでは「リバース」の名の通り、サーバがクライアントを攻撃するHeartbleedである

675 ：名無しさん＠お腹いっぱい。：2014/06/29(日) 18:32:10.61 ID:7d3dDTJd
>>664
その解説は>>663と同じことを言ってるだけ
サーバのバグでクライアントも影響を受けると書いてあるわけだが
クライアントはサーバ側が境界検査することを前提にしているから
バグを悪用したサーバから不正な要求をされてもそれを防ぐようには作られていないって話

**仕様書無しさん** · 2014/06/30(月) 03:13:49.01

683 ：名無しさん＠お腹いっぱい。：2014/06/30(月) 01:02:29.94 ID:b1Gb7HOS
>>675
つまりサーバに「攻撃用クライアントからの不正な要求を受けた際にメモリを漏らすバグ」があるのと同様に、
クライアントにも「攻撃用サーバからの不正な要求を受けた際にメモリを漏らすバグ」があるんだよな？
言ってることが180度変わってるんだけど頭大丈夫か？

689 ：名無しさん＠お腹いっぱい。：2014/06/30(月) 02:33:13.82 ID:GqSdja6D
>>683
> クライアントにも「攻撃用サーバからの不正な要求を受けた際にメモリを漏らすバグ」があるんだよな？
いやいや全く違う
クライアント側は要求に対して正しく応答しているだけ
サーバ側は攻撃者が正式な鍵を使用せず不正な要求をしてきた場合
接続を維持した状態で要求を無視するのが正しい動作だが、
クライアント側はサーバ側と違い正式な鍵がなければ
攻撃者は接続を維持できないのでサーバ側と同じ動作は本来不要
クライアント側がサーバ側のバグを悪用した攻撃に備えていないのは別にバグではない
メールサーバのフィルタリングがぶっ壊れててウイルスを受信してしまっても
メールソフト側にバグがあることにはならないのと似たようなもん

**仕様書無しさん** · 2014/06/30(月) 03:20:02.24

>>86:689
> 正しく応答しているだけ
返答不能な要求に正しい応答なんてないしましてやメモリ漏らして良いなんて仕様は存在しない。

> クライアント側はサーバ側と違い正式な鍵がなければ攻撃者は接続を維持できない
正式な鍵(正確には証明書)は必ずしも必要ではないし、正式な証明書を用意できるケースが有る。
攻撃側のサーバは予め提示可能なタイプの証明書を持っていないという応答を返すことも出来るし、
自身の正しい証明書を用意できるサーバを攻撃に使用すれば何の問題もなく攻撃に入ることが出来る。
例えば、広告の画像URLを攻撃用に取得したドメイン+証明書+攻撃用擬似TLSサーバにしておけば、
OpenSSLを使って接続してくるWebブラウザに正しい証明書の組み合わせで攻撃を行う事が可能になる。

> クライアント側がサーバ側のバグを悪用した攻撃に備えていないのは別にバグではない
攻撃を被弾するリスクが減少するだけでバグはバグ。
実際にそれが理由でクライアントとしてOpenSSLを使うソフトウェアもアップデートを行った。
そもそも、セキュリティを司るモジュールが認証済みの相手ならば攻撃されても良いなんてポリシーなわけがない。

いい加減あきらめろよ

**仕様書無しさん** · 2014/07/01(火) 19:19:13.55

701 ：名無しさん＠お腹いっぱい。：2014/06/30(月) 22:57:35.98 ID:AXin1lzd
>>692
>返答不能な要求に正しい応答なんてないしましてやメモリ漏らして良いなんて仕様は存在しない。

良いも悪いも、そもそもサーバ側のバグを悪用してクライアント側の
メモリを読まれるような状況は想定されていないし想定するのはおかしい
本来なら接続が維持できずメモリを読み出せずに終わるんだからね
サーバ側のバグを悪用してクライアント側のメモリが盗まれることを想定し
あらかじめクライアント側でそれに備えるということは、サーバ側のバグを
認知して放置していることに他ならず話として矛盾している

>広告の画像URLを攻撃用に取得したドメイン+証明書+攻撃用擬似TLSサーバにしておけば、
>OpenSSLを使って接続してくるWebブラウザに正しい証明書の組み合わせで攻撃を行う事が可能になる。

サーバ側のバグがなければ不可能
しかもWebブラウザとSimejiは関係ない

>実際にそれが理由でクライアントとしてOpenSSLを使うソフトウェアもアップデートを行った。

サーバ側にバグがあったからだろｗ
上に挙げた例で言えば、メールサーバがフィルタするはずの
ウイルスを送ってくるバグがあったから
メールソフト側で弾かざるを得なくなったようなもんで
それまで実装されていなかったのは別にクライアント側のバグではない

**仕様書無しさん** · 2014/07/01(火) 19:19:42.66

701 ：名無しさん＠お腹いっぱい。：2014/06/30(月) 22:57:35.98 ID:AXin1lzd
>>692
>返答不能な要求に正しい応答なんてないしましてやメモリ漏らして良いなんて仕様は存在しない。

良いも悪いも、そもそもサーバ側のバグを悪用してクライアント側の
メモリを読まれるような状況は想定されていないし想定するのはおかしい
本来なら接続が維持できずメモリを読み出せずに終わるんだからね
サーバ側のバグを悪用してクライアント側のメモリが盗まれることを想定し
あらかじめクライアント側でそれに備えるということは、サーバ側のバグを
認知して放置していることに他ならず話として矛盾している

>広告の画像URLを攻撃用に取得したドメイン+証明書+攻撃用擬似TLSサーバにしておけば、
>OpenSSLを使って接続してくるWebブラウザに正しい証明書の組み合わせで攻撃を行う事が可能になる。

サーバ側のバグがなければ不可能
しかもWebブラウザとSimejiは関係ない

>実際にそれが理由でクライアントとしてOpenSSLを使うソフトウェアもアップデートを行った。

サーバ側にバグがあったからだろｗ
上に挙げた例で言えば、メールサーバがフィルタするはずの
ウイルスを送ってくるバグがあったから
メールソフト側で弾かざるを得なくなったようなもんで
それまで実装されていなかったのは別にクライアント側のバグではない

**仕様書無しさん** · 2014/07/01(火) 19:31:05.72

>>88
> サーバ側のバグを悪用して
だからサーバもクライアントもどちらでも起きるバグだって何回言えば分かるんだよ
> 想定されていないし想定するのはおかしい
Webブラウザはセキュリティを意識する必要はないとでも言いたげだな
> サーバ側のバグがなければ不可能
クライアントにも全く同じバグが有るんだから不可能
> しかもWebブラウザとSimejiは関係ない
おまえがソース見れるから全部のバグやバックドア見つけれるなんて超アホなこと言い出したから、
ソースを何十何百と言う人間が見れたにも関わらず年単位で放置されたバグの例を教えただけだよ
> メールサーバがフィルタするはずのウイルスを送ってくるバグ
ちげぇよ。
サーバを相手に攻撃を仕掛けるのはクライアントとして振る舞う攻撃用プログラムで、本来想定されるクライアント用プログラムではないし、
クライアントを相手に攻撃を仕掛けるのはサーバとして振る舞う攻撃用プログラムで、本来想定されるサーバ用プログラムではない。
相手が正しいサーバかどうかをチェックする為のプログラムが、不正なサーバ相手にメモリお漏らしなんて許されるわけねーだろアホ

**仕様書無しさん** · 2014/07/05(土) 08:26:44.87

オープンソースのレビューは
だれも確認してなくても時間が経過すると
OKみたいな不思議な仕組み

**仕様書無しさん** · 2014/07/05(土) 14:44:58.39

不思議でもなんでもない
人的リソースはどこも慢性的に不足してるから
あるかどうかもわからない確認待っていれば何も進まない

**仕様書無しさん** · 2014/09/23(火) 21:38:17.44

この問題、組み込み機器とかの問題もあるしまったく解決してないよね

**仕様書無しさん** · 2014/09/23(火) 21:56:44.89

>>93
古いやつは下手するとサポート切れ扱いで放置(→新しい製品に買い替えろ)なんてことになるのだろうね…。

**仕様書無しさん** · 2016/07/30(土) 21:14:46.65

大阪府三島郡島本町は暴力とイジメの
暴力とイジメのブラックタウンなの？

**仕様書無しさん** · 2017/06/11(日) 13:36:30.64

そうだよ
暴力団やヤクザばかりなのに警察は全く動かない

**仕様書無しさん** · 2017/12/29(金) 21:57:51.45

誰でも簡単にパソコン1台で稼げる方法など
参考までに、
⇒　『宮本のゴウリエセレレ』というブログで見ることができるらしいです。

グーグル検索⇒『宮本のゴウリエセレレ』

JQ1HXG0THC

**仕様書無しさん** · 2018/05/22(火) 13:18:08.64

とても簡単な自宅で稼げる方法
参考までに書いておきます
グーグルで検索するといいかも『ネットで稼ぐ方法　モニアレフヌノ』

GIUEM