Сердце кровью обливается

Как бы да. По крайней мере на сайтах, которые использовали уязвимую версию OpenSSL.

мы все умрем

умирай

Дело твое, я бы на всякий сменил. Но и не дергаться тоже никто не запрещает...

Я сменил.

У меня около 200 разных аккаунтов - ни от одного сервиса письма не получил. Кажись им всем плевать.

На самых важных поменял, конечно, остальные десятки аккаунтов, которыми пользуюсь раз в пару лет - не особо важны, данных важных нет, завести новый - не проблема, а пароли на каждом аккаунте разные.

Ну это на моём примере.

Ну кульхацкеры о дыре не знали. А большие компании вроде бы выкатили фиксы еще до того как все стало известно публике.

Если речь о АНБ, который вероятно ее туда засунул, то это же АНБ и ты, анон, им не нужен. И воровать твою кредитку они не станут

У сервисов, которые мне важны, двухфакторная аутентификация.
Остальные ССЗБ.

Ну кульхацкеры о дыре не знали.

Откуда такая уверенность?

Уверенности нет, есть рациональное допущение на основе того как развивались события с этой дырой

Ну кульхацкеры о дыре не знали

Новые сведения об эксплуатации уязвимости OpenSSL «Heartbleed»

Более того, зафиксированы свидетельства того, что уязвимость эксплуатировалась злоумышленниками еще в 2013 году.

Злоумышленники из АНБ?

А разве кто угодно не мог этим воспользоваться?

//не вникал в хронологию событий

Они же должны были знать об этом. Я думаю что как только это опубликовали, тогда да, кульхацкеры набесились.

Лишний раз сменить никогда не вредно.

Они же должны были знать об этом.

Не могли ли хакеры сами найти эту дыру в исходном коде?

Могли

Тогда остается ненулевая вероятность того, что многое было взломанно до обнаружения уязвимости. Верно?

Сап сосаны

Ты немножко путаешь: здесь не сосач.

Уже нигде не сосач :(

Да. Ты восстановил справедливость и удовлетворен?

Я просто стараюсь больше информации узнать о проблеме. Подозревал, что у тебя есть какие-то опровергающие пруфы.

Это понифаги так друг-друга приветствуют

Да блджад, как же вы зае...ли с этим OpenSSL!!! Никуда ваши пароли не утекли! Чтобы это случилось, нужно совпадение ох...го количества факторов.

Утекли сертификаты, которые могу позволить устроить MITM, но чтобы его устроить в подавляющем большинстве случаев, нужно действовать на уровне провайдера.

Сама по себе утечка секретного ключа сертификата в общем-то и не страшна и не поможет ни в какой мере расшифровать переданные данные, поскольку в сессии используется генерируемый одноразовый сеансовый ключ, который нельзя восстановить даже если прослушать поток и иметь сертификат и его секретный ключ!

Ты скажи как простой русский мужик простому русскому мужику: свои пароли ты поменял? :3

Нет.

Ок, и я не буду.

Не только сертификаты. Из-за heartbleed можно было получить полный снимок ОЗУ сервера.

Не сервера, а процесса. И только той части, которая живёт в памяти до начала собственно сессии (на этапе согласования SSL/TLS). С учетом того, что практически все данные всплывают только после начала сессии, который случается после успешного завершения TLS-согласования, вероятность вытащить сколь-нибудь значимые данные становится настолько малой, что может быть использована как детектор предклиническогосостояния паранойи.

Ну да, паранойи... недавно кричали, что сертификат вытащить невозможно.. гугла и яндекса забили менять сертификаты, ибо «компрометация маловероятна»... а тут.. грустно смотреть на левый сайт, валидно подписанный.

А я тебе по-русски и сказал, что для успешного завершения атаки по этой уязвимости надо быть провайдером

Ты неверно истолковал мое сообщение. Для примера яндекс. 11 апреля они говорили так:

Мы, как и обнаружившие уязвимость исследователи, считаем, что кража приватных SSL-ключей с помощью данной атаки маловероятна. Хоть в 64 кб данных из памяти веб-сервера можно вложить небольшое эссе про безопасность паролей, для появления в ней SSL-ключей требуется совпадение многих факторов.

В этот же день случается то на что ссылку давал, и на вуаля, на следующий день у яндекса новый сертификат.

Я всего лишь хотел сказать, что крикуны кричат: «фу, паранойя», ровно до тех пор, пока им в нос не ткнут рабочим эксполоитом и примером его работы. Ты наверное из тех ребят, которые хотят чтобы им показали ИХНИЙ ПАРОЛЬ или ИХНИЙ НОМЕР кредитной карты, чтобы они сказали: «да ты прав, возможно сдесь есть уязвимость».

для успешного завершения атаки по этой уязвимости надо быть провайдером

Ты только что, по русски, сказал, что MITM могут реализовать только провайдеры? Ты доказал абсолютную безопасность DNS? Травить кэши невозможно? ARP спуфинг не бывает? Ты вывел сетевую безопасность на качественно новый уровень! Жаль, но я тебе не верю.