Ha nem látom a saját szememmel, nem hiszem el: az Apple fiaskója után kiderült, hogy a nyílt forrású alkalmazások százai által használt GnuTLS könyvtár is tartalmazott egy ránézésra hasonló, lényegében azonos hatású (köszönj el a tanúsítvány hitelesítéstől), bár…

Az Apple nagy nehezen kiadta a foltot a GOTO fail problémára. A frissítés az SSL kezelés mellett számos távoli kódfuttatásra illetve sandbox-kitörésre alkalmas problémát javít.  A frissítés telepítése után sokan SSL gondokra panaszkodnak, a konteógyártást mindenkire…

Az Apple ma kiadott iOS frissítésében (7.0.6, 6.1.6) egy különösen veszélyes problémát javított a készülékekkel szállított SSL könyvtárban. Úgy tűnik, Stefan Essernek sikerült megtalálnia a problémát okozó kódrészletet, amivel az Apple előkelő pozícióra tett szert a…

A legújabb hírek az NSA-el kapcsolatban sajnos még mindig nagyon kevés konkrétumot tartalmaznak (ideje lenne, hogy valaki végre tényleg kiszivárogtassa a kiszivárgott dokumentumokat...), de talán egy lépéssel közelebb visznek a megfejtéshez NSA és a TLS viszonyában. A legutóbbi, a…

Rég volt szó minden online tranzakciók védőszentjéről, a TLS-ről, pedig történt pár dolog az elmúlt hónapokban - ezer bocs, mostanában viszonylag kevés időm/energiám van kriptó pépöröket értelmezni. Mindenek előtt egy kis múltidézés: Kb. másfél éve jött ki Rizzo-Duong…

Microsoft MS13-001: Erős darabbal indul az új év: a sokak szívében kiemelt helyet elfoglaló Printer Spooler szolgáltatás hibája lényegében a nyomtatási sorok "megfertőzését" teszi lehetővé: egy nomtatási joggal rendelkező felhasználó olyan feladatokat hozhat létre a nyomtató…

A Stanfordi és Texasi egyetemek kutatói közzétettek egy érdekes tanulmányt a különböző SSL/TLS-t alkalmazó könyvtárak, middleware-ek és SDK-k minőségéről. Ezeket a komponenseket számos érzékeny adatot kezelő alkalmazásban megtaláljuk, találkozhatunk velük például banki…

Irán blokkolja az titkosított forgalmakat Iráni netezők az elmúlt héten a forgalomblokkolás jelentős növekedéséről számoltak be. A hírek szerint az állami kontroll alatt álló szolgáltatók félbeszkítják a népszerű külföldi kommunikációs szolgáltatásokhoz - pl. Facebook,…

Az év első fekete keddjén a Microsoft nem gurított különösen nagyot - az igazán félelmetes .NET sebezhetőséget még decemberben kivégezték.MS12-001: Windows XP SP3-on kívül minden támogatott operációsrendszer verzióban javítani kellett egy SafeSEH "megkerülésre"…

A The Hackers Choice nyilvánosságra hozta SSL DoS eszközét (TLS-el is működik), amely a titkosított kapcsolatok létrehozásakor a csatlakozó kliens és a szerver között fellépő számításigénybeli aránytalanságokra épül. A THC szerint egy átlagos kiszolgáló nagyjából 300…

Sajnos úgy érzem, nem lehet tovább halogatni, hogy a Julian Rizzo és Thai Duong által helyi idő szerint pénteken, az argentín Ekoparty konferencián prezentált SSL/TLS támadásról írjak, annak ellenére, hogy még mindig nem tudni pontosan, mit is hozott össze a két kutató. Minden…

Az iOS 4.3.5-ös illetve 4.2.10-es verzóiban egy olyan X.509 tanúsítványok kezelésével kapcsolatos problémát javítottak, melynek első változatát kilenc éve az Internet Explorerrel kapcsolatban fedezte fel Moxie Marlinspike. A probléma oka, hogy az operációs rendszer…

Az alábbi eset valószínűleg be fog vonulni a tankönyvekbe, mint remek példa a hagyományos PKI gyengeségeire.Az történt, hogy illetéktelenek valamilyen módon hozzájutottak kilenc, a Comodo CA által kibocsátott tanúsítvány kulcshoz, melyek segítségével megszemélyesíthető…

Ez tényleg fáj:Kurt Seifried rájött, hogy a RapidSSL (és minden bizonnyal még néhány "jónevű" CA) pusztán egy (tipikusan ssladmin@ kezdetű) e-mail cím meglétéhez köti az SSL tanúsítványok kibocsátását, ami ingyenes webmail szolgáltatók esetében nem túl szigorú…

November közepén kerül megrendezésre Bécsben a harmadik DeepSec IT-biztonsági konferencia, melyre megkezdődött az előadástémák összegyűjtése. A javaslatokat július 15-ig várják. További részletek a közleményben. Reméljük hamarosan sikerül egy rendes SSL tanúsítványt is…

Nos dióhéjban nézzük, miről is beszél Moxie Marlinspike:Tanúsítvány láncolásA PKI rendszerek bizonyos szint fölött definíció szerint a bizalmon alapulnak. Bár egy weboldal tanústványát kiállító entitásról általában egy másik hitelesítő intézmény kezeskedik, a lánc…

Nincs sok időm írni, de annyit gyorsan elmondok, hogy ez a cikk az ITCafé-n (amit feltehetően az Index is át fog venni néhány órán belül) teljes egészében hülyeség, félrevezetés és hazugság!Moxie Marlinspike kidolgozott néhány valóban figyelemreméltó trükköt az SSL-lel…